CVE-2026-77459 in Argo CD
Zusammenfassung
von VulDB • 13.10.2026
Argo CD ist ein deklaratives GitOps-Werkzeug für die kontinuierliche Bereitstellung (Continuous Delivery) in Kubernetes. Von der Version 2.10.0 bis zu den Versionen 3.3.15, 3.4.10, 3.5.4 und 3.6.0-rc2 erstellt Argo CD PostDelete-Ressourcen-Hooks, ohne die bei der normalen Synchronisierung angewendeten AppProject-Ziel- und Ressourcen-Autorisierungsprüfungen durchzuführen. Die unterlassenen Prüfungen umfassen clusterweit gültige (cluster-scoped) sowie namespacede Zulassungs-/Ablehungslisten für Ressourcen. Ein Benutzer, der Schreibzugriff auf das Git-Repository einer Anwendung hat, kann einen Lösch-Hook einchecken, der eine verbotene Namespace, Servergruppe, Kind oder Ressourcennamenzielt; die Löschung der Anwendung führt dazu, dass der application-controller diese Ressource mit den Zielcluster-Anmeldeinformationen des Controllers erstellt. Die erreichbare Auswirkung ist durch den Clusterzugriff des Controllers begrenzt, kann aber clusterweit gültige Ressourcen, nicht erlaubte Namespaces, persistente Hook-Objekte und sekundäre Objekte umfassen, die von einem Hook-Job erstellt wurden. PreSync-, Sync-, PostSync- und SyncFail-Hooks verwenden weiterhin die normalen Projektprüfungen. Dieses Problem ist in den Versionen 3.3.15, 3.4.10, 3.5.4 und 3.6.0-rc2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.