PT-2025-23137
CVE-2025-47933
·
تاريخ النشر
2025-05-28
·
تاريخ التحديث
2025-08-27
الوصف من
CVSS 3.1
9.0
حرجةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Argo CD الأقدم من v2.13.8
إصدارات Argo CD الأقدم من v2.14.13
إصدارات Argo CD الأقدم من v3.0.4
الوصف
تسمح هذه المشكلة للمهاجم بتنفيذ إجراءات تعسفية نيابة عن الضحية عبر واجهة برمجة التطبيقات (API)، مثل إنشاء موارد Kubernetes وتعديلها وحذفها. تنجم هذه الثغرة الأمنية عن التصفية غير الملائمة لبروتوكولات عناوين URL في صفحة المستودع، مما يسمح للمهاجم بتنفيذ هجوم البرمجة النصية عبر المواقع (cross-site scripting) مع امتلاك صلاحية تعديل المستودع. يحتوي الملف
ui/src/app/shared/components/urls.ts على كود يقوم بتحليل عنوان URL للمستودع دون التحقق من صحة البروتوكول، مما يجعل من الممكن حقن عناوين URL من نوع javascript:. وقد يؤدي ذلك إلى حدوث هجوم «البرمجة النصية عبر المواقع»، حيث يتم استخدام قيمة الإرجاع لهذه الدالة في السمة href لعلامة a.التوصيات
قم بالتحديث إلى الإصدار v2.13.8 أو أحدث من Argo CD لإصلاح الثغرة الأمنية.
قم بالتحديث إلى الإصدار v2.14.13 أو أحدث من Argo CD لإصلاح الثغرة الأمنية.
قم بالتحديث إلى الإصدار v3.0.4 أو أحدث من Argo CD لإصلاح الثغرة الأمنية.
كحل مؤقت، ضع في اعتبارك الاعتماد على المتصفح لتصفية عنوان URL حتى يتم تطبيق التصحيح.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾