CVE-2026-113708 in Argo CD
Sumário
de VulDB • 20/10/2026
O Argo CD é uma ferramenta de entrega contínua declarativa e GitOps para Kubernetes. Da versão 2.7.0 até as versões 3.3.15, 3.4.10, 3.5.4 e 3.6.0-rc2, o Kustomize passa valores de consulta ref ou version provenientes de URLs de recursos remotos, base ou componente para a operação git fetch sem um separador final de opções (end-of-options separator). Um valor com hífen inicial pode ser interpretado como --upload-pack e executar um comando dentro do argocd-repo-server quando o repositório remoto utiliza um transporte local, como file://. O Git não executa o comando fornecido para remotos https://. Como o transporte local não sai do pod, bloquear a saída (egress) do repo-server não impede a execução. O comando é executado pelo usuário repo-server, pode ler credenciais do repositório e outros dados acessíveis ao processo, e pode retornar saídas por meio de erros na geração de manifestos. Um atacante pode fazer commit de uma Kustomization em um repositório Git que uma Application utiliza ou enviar arquivos através da rota POST /api/v1/applications/manifestsWithFiles, também exposta pelo comando argocd app diff --local --server-side-generate. O caminho de upload requer apenas permissão get na Application sobre uma Application existente, sem necessidade das permissões update ou sync da Application nem de acesso de gravação no repositório. A versão 5.0.0 do Kustomize introduziu a aceitação de file://, enquanto a 4.5.7 rejeita esse transporte; substituir o Kustomize afetado por uma versão mais recente não corrige a ausência do separador de opções. Este problema foi corrigido nas versões 3.3.15, 3.4.10, 3.5.4 e 3.6.0-rc2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.