CVE-2026-24748 in kargo
Riassunto
di VulDB • 15/06/2026
Kargo gestisce e automatizza la promozione di artefatti software. Prima delle versioni 1.8.7, 1.7.7 e 1.6.3 è stato rilevato un bug relativo ai controlli di autenticazione sull'endpoint API `GetConfig()`. Ciò consentiva agli utenti non autenticati di accedere a tale endpoint specificando un'intestazione `Authorization` con qualsiasi valore del token `Bearer` diverso da vuoto, indipendentemente dalla sua validità. Questa vulnerabilità ha consentito l'esfiltrazione di dati di configurazione, quali gli endpoint dei cluster Argo CD collegati. Tali dati potrebbero consentire a un attaccante di enumerare gli URL e i namespace dei cluster per utilizzarli in attacchi successivi. Inoltre, lo stesso bug interessava anche l'endpoint `RefreshResource`. Questo endpoint non comporta alcuna divulgazione di informazioni, ma potrebbe essere utilizzato da un attaccante non autenticato per eseguire un attacco di tipo denial-of-service contro l'API Kargo. `RefreshResource` imposta un'annotazione su specifiche risorse Kubernetes per innescare le operazioni di riconciliazione; se eseguito in un ciclo continuo, ciò potrebbe rallentare anche le richieste legittime al server API di Kubernetes. Il problema è stato risolto nelle versioni 1.8.7, 1.7.7 e 1.6.3 di Kargo. Non esistono soluzioni alternative (workaround) per questo problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.