CVE-2026-77459
Argo CD: contorno das restrições de destination-namespace e de recursos do AppProject por hooks de recursos PreDelete/PostDelete
Traduzido automaticamente do inglês.
O Argo CD verifica o AppProject de uma Aplicação antes de criar recursos durante uma sincronização. Essa verificação cobre namespaces e servidores de destino, listas de permissões e negações de recursos em nível de cluster e listas de permissões e negações de recursos em nível de namespace, incluindo nomes de recursos. Os hooks PreDelete e PostDelete pulam essa verificação.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.9 (v3.1)
- EPSS
- 0,72% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- github.com/argoproj/argo-cd/v2 (go) >= 2.10.0, <= 2.14.21, sem correção ainda · GHSA-fmxq-cgp8-87wp
- github.com/argoproj/argo-cd/v3 (go) >= 3.0.0, < 3.3.15, corrigido em 3.3.15 · GHSA-fmxq-cgp8-87wp
- github.com/argoproj/argo-cd/v3 (go) >= 3.4.0, < 3.4.10, corrigido em 3.4.10 · GHSA-fmxq-cgp8-87wp
- github.com/argoproj/argo-cd/v3 (go) >= 3.5.0, < 3.5.4, corrigido em 3.5.4 · GHSA-fmxq-cgp8-87wp
- github.com/argoproj/argo-cd/v3 (go) >= 3.6.0-rc1, < 3.6.0-rc2, corrigido em 3.6.0-rc2 · GHSA-fmxq-cgp8-87wp