CVE-2026-113709 in Argo CD
Resumen
por VulDB • 2026-10-20
Argo CD es una herramienta de entrega continua declarativa y basada en GitOps para Kubernetes. Desde la versión 2.1.0 hasta las versiones 3.3.15, 3.4.10, 3.5.4 y 3.6.0-rc2, cuando un operador ha habilitado --enable-helm para kustomize build, helmGlobals.configHome puede apuntar los directorios de configuración y datos de Helm a una ubicación controlada por el repositorio. Helm carga automáticamente un plugin descargador desde `<configHome>/.data/plugins` sin necesidad de un paso separado de instalación del plugin y ejecuta su programa dentro de argocd-repo-server cuando la URL del repositorio helmCharts utiliza el protocolo del plugin. El comando se ejecuta como el usuario repo-server y puede leer las credenciales del repositorio y otros datos accesibles por el proceso. Un atacante puede comprometer (commit) la Kustomization y el plugin en un repositorio Git que una Application construye o subir los archivos a través de POST /api/v1/applications/manifestsWithFiles, también expuesto mediante argocd app diff --local --server-side-generate. La ruta de subida solo requiere permiso get sobre una Application existente, sin necesidad de permisos update o sync para la Application ni acceso de escritura al repositorio. Ambas rutas de entrega requieren la habilitación previa por parte del operador de --enable-helm; los despliegues que no lo habilitan no se ven afectados. Kustomize 4.1.0 fue la primera versión en pasar helmGlobals.configHome a Helm. Este problema está corregido en las versiones 3.3.15, 3.4.10, 3.5.4 y 3.6.0-rc2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.