CVE-2026-113709 in Argo CD
Sumário
de VulDB • 20/10/2026
O Argo CD é uma ferramenta de entrega contínua declarativa e GitOps para Kubernetes. Da versão 2.1.0 até as versões 3.3.15, 3.4.10, 3.5.4 e 3.6.0-rc2, quando um operador habilita a opção --enable-helm para o build do kustomize, helmGlobals.configHome pode apontar os diretórios de configuração e dados do Helm para uma localização controlada pelo repositório. O Helm carrega automaticamente um plugin downloader de `<configHome>/.data/plugins` sem exigir uma etapa separada de instalação do plugin e executa seu programa dentro do argocd-repo-server quando a URL do repositório helmCharts utiliza o protocolo do plugin. O comando é executado pelo usuário repo-server e pode ler credenciais do repositório e outros dados acessíveis ao processo. Um atacante pode comprometer (commitar) o Kustomization e o plugin em um repositório Git que uma Application constrói ou fazer upload dos arquivos através de POST /api/v1/applications/manifestsWithFiles, também exposto por argocd app diff --local --server-side-generate. O caminho de upload requer apenas permissão get da Application sobre uma Application existente, sem necessidade de permissões update ou sync da Application nem acesso de gravação no repositório. Ambas as vias de entrega exigem a habilitação prévia por parte do operador da opção --enable-helm; implantações que não a ativam não são afetadas. O Kustomize 4.1.0 passou pela primeira vez helmGlobals.configHome para o Helm. Este problema está corrigido nas versões 3.3.15, 3.4.10, 3.5.4 e 3.6.0-rc2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.