CVE-2026-113672

اسم البرنامج المصاب والإصدارات المتأثرة Argo CD الإصدارات من 0.9.0 إلى 3.3.14 Argo CD الإصدارات من 3.4.0 إلى 3.4.9 Argo CD الإصدارات من 3.5.0 إلى 3.5.3 Argo CD الإصدارات من 3.6.0-rc0 إلى 3.6.0-rc1

Description يقوم repo-server بتقييم ملفات .jsonnet باستخدام مستورد لا يحصر وظائف import أو importstr أو importbin في جذر المستودع. يسمح هذا باستخدام المسارات المطلقة، وتجاوز الدليل الأب، والروابط الرمزية للمستودع لقراءة أي ملف يمكن لـ repo-server الوصول إليه، مثل /proc/self/environ ورموز حساب الخدمة المعروضة والمفاتيح الخاصة المثبتة وبيانات اعتماد المستودع. على الرغم من تنقيح الأسرار (Secrets) التي يتم إنشاؤها، فإن وضع المحتويات المستوردة في ConfigMap يعيد البيانات إلى المستدعي. بالإضافة إلى ذلك، يمكن أن يؤدي استخدام importstr على جهاز غير منتهٍ مثل /dev/zero إلى استنفاد ذاكرة repo-server وتسبب في حالة رفض الخدمة. يمكن للمهاجم استغلال ذلك عن طريق إرسال ملف .jsonnet إلى مستودع Git أو تحميل الملف عبر نقطة النهاية '/api/v1/applications/manifestsWithFiles'. تظهر نقطة النهاية هذه أيضًا من خلال الأمر argocd app diff --local --server-side-generate. بالنسبة لتطبيقات الدليل، يتم تقييم كل ملف .jsonnet في دليل التطبيق. يتطلب مسار التحميل فقط إذن Application get على تطبيق دليل موجود.

Recommendations تحديث Argo CD إلى الإصدار 3.3.15. تحديث Argo CD إلى الإصدار 3.4.10. تحديث Argo CD إلى الإصدار 3.5.4. تحديث Argo CD إلى الإصدار 3.6.0-rc2.