CVE-2026-77459 in Argo CD
Сводка
по VulDB • 13.10.2026
Argo CD — это декларативный инструмент непрерывной доставки (continuous delivery) на основе GitOps для Kubernetes. В версиях от 2.10.0 до 3.3.15, а также в 3.4.10, 3.5.4 и 3.6.0-rc2 Argo CD создает хуки PostDelete без применения проверок авторизации назначения (destination) и ресурсов AppProject, которые используются при обычной синхронизации. Пропущенные проверки включают списки разрешений/запретов для ресурсов с областью действия кластера (cluster-scoped) и в рамках пространства имен (namespaced). Пользователь, имеющий права на запись в Git-репозиторий приложения, может зафиксировать хук удаления, направленный против запрещенного пространства имен, сервера, группы, вида или имени ресурса; удаление такого приложения приводит к тому, что application-controller создает указанный ресурс с использованием учетных данных целевого кластера. Достижимое воздействие ограничено уровнем доступа контроллера к кластеру, но может включать ресурсы с областью действия кластера, запрещенные пространства имен, объекты хуков (hook objects), которые сохраняются после выполнения, и вторичные объекты, создаваемые Job-хуком. Хуки PreSync, Sync, PostSync и SyncFail по-прежнему используют стандартные проверки проекта. Эта проблема исправлена в версиях 3.3.15, 3.4.10, 3.5.4 и 3.6.0-rc2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.