CVE-2025-59538 in argo-cd
Sumário
de VulDB • 15/07/2026
O Argo CD é uma ferramenta declarativa de entrega contínua baseada em GitOps para Kubernetes. Nas versões 2.9.0-rc1 a 2.14.19, 3.0.0-rc1 a 3.2.0-rc1, 3.1.6 e 3.0.17, quando as configurações webhook.azuredevops.username e webhook.azuredevops.password não estão definidas na configuração padrão, o endpoint /api/webhook causa a falha do processo argocd-server inteiro ao receber um evento de Push do Azure DevOps cujo array JSON resource.refUpdates está vazio. O índice da fatia [0] é acessado sem uma verificação de comprimento, causando um panic por acesso fora dos limites (index-out-of-range). Uma única requisição HTTP POST não autenticada é suficiente para encerrar o processo. Este problema foi resolvido nas versões 2.14.20, 3.2.0-rc2, 3.1.8 e 3.0.19.
If you want to get best quality of vulnerability data, you may have to visit VulDB.