CVE-2026-45738

Nome do Software Vulnerável e Versões Afetadas Argo CD versões anteriores a 3.2.12 Argo CD versões anteriores a 3.3.10 Argo CD versões anteriores a 3.4.2

Description Um problema de cross-site scripting (XSS) armazenado existe na guia de Resumo (Summary) da aplicação. Um usuário com acesso de escrita à aplicação (função de desenvolvedor) pode injetar URIs JavaScript em anotações link.argocd.argoproj.io/* usando um formato delimitado por pipe (Texto de Exibição | javascript:...). Como o software não valida essas URLs antes de renderizá-las como elementos <a>, um administrador que clicar no link disfarçado executará JavaScript arbitrário em sua sessão autenticada. Isso pode levar à exfiltração de API e escalonamento de privilégios de desenvolvedor para administrador, permitindo potencialmente a tomada total de controle do controlador GitOps e das cargas de trabalho Kubernetes gerenciadas. O problema é causado pela falta de validação de URL no arquivo ui/src/app/applications/components/application-summary/application-summary.tsx e pelo uso do React 16.x, que não bloqueia URIs javascript: em atributos href.

Recommendations Atualize para a versão 3.2.12. Atualize para a versão 3.3.10. Atualize para a versão 3.4.2.