CVE-2026-113672

Argo CD, Kubernetes üçün deklarativ, GitOps davamlı çatdırılma alətidir. 0.9.0 versiyasından etibarən 3.3.15, 3.4.10, 3.5.4 və 3.6.0-rc2 versiyalarına qədər, repo-server .jsonnet fayllarını import, importstr və ya importbin əməliyyatlarını repozitoriyanın kök kataloqu ilə məhdudlaşdırmayan bir importer vasitəsilə qiymətləndirir. Mütləq yollar, valideyn kataloquna keçidlər (parent-directory traversal) və repozitoriya simvolik keçidləri (symlinks), o cümlədən /proc/self/environ, layihələşdirilmiş service-account tokenləri, montaj edilmiş gizli açarlar və repozitoriya etibarnamələri daxil olmaqla, repo-server tərəfindən oxuna bilən hər hansı faylın açılmasına imkan verir. Yaradılmış Secret-lər redaktə edilsə də, idxal edilmiş məzmunun ConfigMap-ə yerləşdirilməsi məlumatları çağırana geri qaytarır. /dev/zero kimi sonlanmayan cihazlarda importstr istifadəsi repo-server yaddaşını tükəndirə bilər. Hücumçu Application tərəfindən istifadə edilən Git repozitoriyasına .jsonnet faylını commit edə bilər və ya faylı POST /api/v1/applications/manifestsWithFiles vasitəsilə yükləyə bilər ki, bu da argocd app diff --local --server-side-generate tərəfindən təmin edilir. Kataloq tətbiqləri (Directory applications) tətbiq kataloqundakı hər bir .jsonnet faylını qiymətləndirir. Yükləmə yolu üçün mövcud kataloq Application üzərində yalnız Application get icazəsi tələb olunur, Application update və ya sync icazəsi və ya repozitoriyaya yazı girişi tələb edilmir. Bu problem 3.3.15, 3.4.10, 3.5.4 və 3.6.0-rc2 versiyalarında düzəldilib.