CVE-2026-77459 in Argo CD
Sumário
de VulDB • 13/10/2026
O Argo CD é uma ferramenta de entrega contínua declarativa e GitOps para Kubernetes. Da versão 2.10.0 até as versões 3.3.15, 3.4.10, 3.5.4 e 3.6.0-rc2, o Argo CD cria hooks de recursos PostDelete sem aplicar os controles de autorização do destino AppProject e dos recursos utilizados durante a sincronização normal. Os controles omitidos incluem as listas de permissão/negação (allow/deny lists) para recursos com escopo no cluster e em namespaces específicos. Um usuário que pode escrever no repositório Git de uma Application pode fazer commit de um hook de exclusão direcionado a um namespace, servidor, grupo, kind ou nome de recurso proibidos; a exclusão da Application faz com que o application-controller crie esse recurso usando suas credenciais do cluster de destino. O impacto alcançável é limitado pelo acesso ao cluster do controller, mas pode incluir recursos com escopo no cluster, namespaces não permitidos, objetos hook persistentes e objetos secundários criados por um Job hook. Os hooks PreSync, Sync, PostSync e SyncFail continuam a usar os controles normais de projeto. Este problema foi corrigido nas versões 3.3.15, 3.4.10, 3.5.4 e 3.6.0-rc2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.