PT-2026-60560
CVE-2026-54526
·
تاريخ النشر
2026-07-16
·
تاريخ التحديث
2026-09-04
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Argo Workflows الأقدم من 3.7.15
إصدارات Argo Workflows الأقدم من 4.0.6
الوصف
يؤدي التنفيذ غير الكامل لقائمة السماح في الدالتين
ValidateUserOverrides وSanitizeUserWorkflowSpec داخل الملف workflow/util/merge.go إلى السماح بإدخال تصحيحات دمج استراتيجية تعسفية. يتم إدراج الحقل WorkflowSpec.ArtifactGC بالكامل في قائمة السماح، وتحتوي البنية الأساسية WorkflowLevelArtifactGC الخاصة به على حقل فرعي PodSpecPatch. وهذا يسمح للمستخدم الذي يقدم سير عمل (Workflow) في وضعي templateReferencing: Strict أو Secure، مع تعيين spec.artifactGC.strategy: OnWorkflowCompletion مقابل قالب سير عمل (WorkflowTemplate) مرجعي يحتوي على أرتيفاكت إخراج، بحقن تكوينات ضارة في بود (pod) artifact-GC. تشمل الآثار المحتملة استخدام وحدات التخزين hostPath، وتعيين privileged: true، وتنفيذ صور وأوامر عشوائية، وتمكين hostNetwork: true، مما يتجاوز القيود الأمنية لوضعَي الإحالة Strict و Secure.التوصيات
التحديث إلى الإصدار 3.7.15 أو أحدث.
التحديث إلى الإصدار 4.0.6 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾