Më 15 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-fmxq-cgp8-87wp (CVE-2026-77459) për një dobësi me rrezikshmëri kritike (CVSS 9.9) në paketën github.com/argoproj/argo-cd/v2 të ekosistemit Go. Dobësia prek gjithsej 5 paketa.
Paketat e prekura
- github.com/argoproj/argo-cd/v2 (Go) — versionet e prekura:
>= 2.10.0, <= 2.14.21; versioni me rregullim: ende nuk ka - github.com/argoproj/argo-cd/v3 (Go) — versionet e prekura:
>= 3.0.0, < 3.3.15; versioni me rregullim:3.3.15 - github.com/argoproj/argo-cd/v3 (Go) — versionet e prekura:
>= 3.4.0, < 3.4.10; versioni me rregullim:3.4.10 - github.com/argoproj/argo-cd/v3 (Go) — versionet e prekura:
>= 3.5.0, < 3.5.4; versioni me rregullim:3.5.4 - github.com/argoproj/argo-cd/v3 (Go) — versionet e prekura:
>= 3.6.0-rc1, < 3.6.0-rc2; versioni me rregullim:3.6.0-rc2
Detaje
- Rrezikshmëria: Kritike (CVSS 9.9)
- CWE: CWE-863 (Incorrect Authorization)
- Identifikuesit: GHSA-fmxq-cgp8-87wp, CVE-2026-77459
Përmbledhja zyrtare (në anglisht)
Argo CD: AppProject destination-namespace and resource restrictions bypassed by PreDelete/PostDelete resource hooks — Impact Argo CD checks an Application's AppProject before it creates resources during a sync. That check covers destination namespaces and servers, cluster-scoped resource allow and deny lists, and namespaced resource allow and deny lists, including resource names. PreDelete and PostDelete hooks skip it. When the Application is deleted, Argo CD creates those hooks with the application-controller's credentials on the destination cluster. All versions from v2.10.0 onward are affected, including every currently supported release. v2.9.22 and earlier are not. PostDelete hooks…
Çfarë duhet të bëni
Ende nuk ka version me rregullim. Ndiqni udhëzimet në këshillën zyrtare dhe kufizoni ekspozimin e sistemeve të prekura.
