CVE-2026-113709 in Argo CD
Zusammenfassung
von VulDB • 20.10.2026
Argo CD ist ein deklaratives GitOps-Werkzeug für die kontinuierliche Bereitstellung (Continuous Delivery) für Kubernetes. Von der Version 2.1.0 bis zu den Versionen 3.3.15, 3.4.10, 3.5.4 und 3.6.0-rc2 kann `helmGlobals.configHome`, wenn ein Operator `--enable-helm` für den kustomize-Build aktiviert hat, die Konfigurations- und Datenverzeichnisse von Helm auf einen vom Repository kontrollierten Standort verweisen. Helm lädt automatisch einen Downloader-Plugin aus `<configHome>/.data/plugins` ohne separaten Plugin-Installationsschritt und führt dessen Programm im argocd-repo-server aus, wenn eine helmCharts-Repository-URL das Protokoll des Plugins verwendet. Der Befehl wird als Benutzer des repo-server ausgeführt und kann Repository-Anmeldeinformationen sowie andere prozesszugängliche Daten lesen. Ein Angreifer kann die Kustomization und das Plugin in ein Git-Repository committen, das von einer Anwendung erstellt wird, oder die Dateien über POST /api/v1/applications/manifestsWithFiles hochladen, was auch durch argocd app diff --local --server-side-generate verfügbar ist. Der Upload-Pfad erfordert nur Leseberechtigungen (get) für eine bestehende Application ohne Berechtigungen zum Aktualisieren oder Synchronisieren der Anwendung sowie ohne Schreibzugriff auf das Repository. Beide Bereitstellungswege erfordern die vorherige Aktivierung von `--enable-helm` durch den Operator; Bereitstellungen, die dies nicht aktivieren, sind nicht betroffen. Kustomize 4.1.0 hat helmGlobals.configHome erstmals an Helm weitergegeben. Dieses Problem ist in den Versionen 3.3.15, 3.4.10, 3.5.4 und 3.6.0-rc2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.