CVE-2026-77459 in Argo CD
Riassunto
di VulDB • 13/10/2026
Argo CD è uno strumento di delivery continuo basato su GitOps e approccio dichiarativo per Kubernetes. Dalla versione 2.10.0 fino alle versioni 3.3.15, 3.4.10, 3.5.4 e 3.6.0-rc2 (escluse), Argo CD crea hook di risorse PostDelete senza applicare i controlli di autorizzazione per la destinazione dell'AppProject e le risorse utilizzati durante una sincronizzazione ordinaria. I controlli omessi includono le liste bianche/nere (allow/deny lists) per le risorse a livello di cluster e quelle namespaced. Un utente con capacità di scrittura nel repository Git di un'applicazione può committare un hook di eliminazione che mira a uno namespace, server, gruppo, kind o nome risorsa vietati; l'eliminazione dell'applicazione provoca la creazione da parte del controller (application-controller) della risorsa utilizzando le credenziali del cluster di destinazione. L'impatto raggiungibile è limitato dall'accesso al cluster del controller ma può includere risorse a livello di cluster, namespace non consentiti, oggetti hook persistenti e oggetti secondari creati da un Job hook. Gli hook PreSync, Sync, PostSync e SyncFail continuano ad utilizzare i normali controlli del progetto. Questo problema è risolto nelle versioni 3.3.15, 3.4.10, 3.5.4 e 3.6.0-rc2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.