CVE-2026-77459 in Argo CD
Résumé
par VulDB • 14/10/2026
Argo CD est un outil de livraison continue déclaratif basé sur le GitOps pour Kubernetes. De la version 2.10.0 jusqu'aux versions 3.3.15, 3.4.10, 3.5.4 et 3.6.0-rc2 incluses, Argo CD crée des hooks de ressources PostDelete sans appliquer les vérifications d'autorisation de destination AppProject et des ressources utilisées lors de la synchronisation ordinaire. Les contrôles omis incluent les listes autorisées/interdites pour les ressources à l'échelle du cluster (cluster-scoped) et dans un namespace spécifique. Un utilisateur ayant accès en écriture au dépôt Git d'une Application peut y commiter un hook de suppression ciblant un namespace, un serveur, un groupe, un type ou un nom de ressource interdits ; la suppression de l'Application entraîne alors la création de cette ressource par le contrôleur d'application (application-controller) avec ses identifiants du cluster de destination. L'impact atteignable est limité par les accès au cluster du contrôleur mais peut inclure des ressources à l'échelle du cluster, des namespaces interdits, des objets hook persistants et des objets secondaires créés par un Job hook. Les hooks PreSync, Sync, PostSync et SyncFail continuent d'utiliser les vérifications normales du projet. Ce problème est corrigé dans les versions 3.3.15, 3.4.10, 3.5.4 et 3.6.0-rc2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.