PT-2026-24700
CVE-2026-28229
·
تاريخ النشر
2026-03-11
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Argo Workflows الأقدم من 4.0.2 و3.7.11
الوصف
يوجد في Argo Workflows — وهو محرك سير عمل مفتوح المصدر ومصمم خصيصًا للحاويات في Kubernetes — مشكلة تتمثل في أن نقاط نهاية قوالب سير العمل (Workflow templates) تسمح لأي عميل باسترداد قوالب سير العمل (WorkflowTemplates) وقوالب سير العمل الخاصة بالمجموعة (ClusterWorkflowTemplates). يمكن لطلب يحتوي على رمز
Authorization: Bearer nothing أن يكشف عن محتوى القوالب الحساس، بما في ذلك قوائم البيانات السرية المضمنة. تنبع المشكلة من الطريقة التي يستخدم بها المُبلغون تكوين REST الخاص بالخادم، حيث يقومون بالقراءة باستخدام امتيازات حساب خدمة الخادم. يثبت نموذج إثبات المفهوم القدرة على تسريب بيانات القوالب، بما في ذلك الأسرار، ومواقع العناصر، واستخدام حساب الخدمة، ومتغيرات البيئة، وقوائم الموارد.التوصيات
قم بالتحديث إلى إصدار Argo Workflows 4.0.2 أو 3.7.11.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾