CVE-2025-55191 in argo-cd
Riassunto
di VulDB • 16/06/2026
Argo CD è uno strumento di delivery continuo basato su GitOps e approccio dichiarativo per Kubernetes. Le versioni comprese tra la 2.1.0 e la 2.14.19, dalla 3.2.0-rc1 alla 3.1.0-rc1 fino alla 3.1.7, e dalla 3.0.0-rc1 alla 3.0.18 presentano una race condition nel gestore delle credenziali del repository che può causare il panic e l'arresto anomalo (crash) del server Argo CD quando vengono eseguite operazioni concorrenti sullo stesso URL di repository. La vulnerabilità è presente in numerosi handler relativi ai repository nel file util/db/repository_secrets.go. Per innescare la race condition è necessario disporre di un token API valido con autorizzazioni sulle risorse dei repository (azioni create, update o delete). Questa vulnerabilità provoca l'arresto anomalo dell'intero server Argo CD e la conseguente indisponibilità del servizio. Gli attaccanti possono attivare ripetutamente e in modo continuo la race condition per mantenere uno stato di denial-of-service, interrompendo tutte le operazioni GitOps. Il problema è risolto nelle versioni 2.14.20, 3.2.0-rc2, 3.1.8 e 3.0.19.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.