PT-2026-3870
CVE-2026-23960
·
تاريخ النشر
2026-01-21
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 4.0
7.3
عاليةالمقاييسAV:N/AC:H/AT:N/PR:L/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Argo Workflows الأقدم من 3.6.17 والأقدم من 3.7.8
الوصف
يحتوي Argo Workflows على ثغرة أمنية تتعلق بـ «البرمجة النصية عبر المواقع» (XSS) المخزنة في قائمة دليل الأرتيفاكتات. وهذا يسمح لمؤلف سير العمل بتنفيذ جافا سكريبت تعسفي في متصفح مستخدم آخر تحت مصدر Argo Server، مما قد يتيح القيام بأعمال على واجهة برمجة التطبيقات (API) باستخدام امتيازات الضحية. تنبع المشكلة من استجابة قائمة الدليل في
server/artifacts/artifact server.go، التي تعرض أسماء الكائنات مباشرةً في HTML دون إجراء الهروب المناسب. ويكون المهاجم هو من يتحكم في أسماء الكائنات عندما يقوم سير العمل بحفظ الملفات في دليل مخرجات العناصر. ويوجد الكود المعرض للثغرة في fmt.Fprintf داخل الملف المحدد. يمكن للمهاجم إنشاء سير عمل ضار ينتج عنصر HTML مُعدًّا بعناية يحتوي على برنامج نصي. وعند إرسال رابط عميق لهذا العنصر إلى الضحية، يمكن للمهاجم تشغيل البرنامج النصي في متصفح الضحية، مما يتيح له نظريًّا تنفيذ إجراءات على واجهة برمجة تطبيقات Argo Server باستخدام أذونات الضحية، مثل قراءة معلومات سير العمل أو إنشاء/حذف سير العمل.التوصيات
يجب تحديث إصدارات Argo Workflows الأقدم من 3.6.17 إلى الإصدار 3.6.17 أو أحدث.
يجب تحديث إصدارات Argo Workflows الأقدم من 3.7.8 إلى الإصدار 3.7.8 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾