CVE-2025-55190 in argo-cd
Riassunto
di VulDB • 16/06/2026
Argo CD è uno strumento di delivery continuo basato su GitOps e approccio dichiarativo per Kubernetes. Nelle versioni dalla 2.13.0 alla 2.13.8, dalla 2.14.0 alla 2.14.15, dalla 3.0.0 alla 3.0.12 e dalla 3.1.0-rc1 alla 3.1.1, i token API con permessi a livello di progetto sono in grado di recuperare credenziali sensibili dei repository (nomi utente, password) tramite l'endpoint dell'API per i dettagli del progetto, anche quando il token dispone solo di permessi standard di gestione delle applicazioni e non ha accesso esplicito ai segreti. Questa vulnerabilità non colpisce esclusivamente i permessi a livello di progetto. Qualsiasi token con permessi di lettura (get) sui progetti è anch'esso vulnerabile, inclusi i permessi globali come: `p, role/user, projects, get, *, allow`. Il problema è stato risolto nelle versioni 2.13.9, 2.14.16, 3.0.14 e 3.1.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.