CVE-2026-113708

Argo CD, Kubernetes üçün deklarativ, GitOps davamlı çatdırılma alətidir. 2.7.0 versiyasından etibarən 3.3.15, 3.4.10, 3.5.4 və 3.6.0-rc2 versiyalarına qədər, Kustomize uzaq resurs, baza və ya komponent URL-lərindən gələn ref və ya version sorğu dəyərlərini seçimlərin sonu ayırıcısı olmadan git fetch əmrinə ötürür. Əgər uzaq resurs file:// kimi lokal nəqliyyat vasitəsindən istifadə edirsə, tire ilə başlayan dəyər --upload-pack kimi təfsir edilə bilər və argocd-repo-server daxilində əmr icra edə bilər. Git, https:// uzaq resursları üçün təmin edilən əmri icra etmir. Lokal nəqliyyat pod-dan kənara çıxmadığı üçün repo-server egress-nin bloklanması icranın qarşısını almır. Əmr repo-server istifadəçisi kimi işləyir, repozitoriya etibarnamələrini və digər proses tərəfindən əlçatan məlumatları oxuya bilir və manifest-generation xətaları vasitəsilə nəticəni qaytara bilir. Hücumçu, bir Application-ın qurduğu Git repozitoriyasına Kustomization commit edə bilər və ya həmçinin argocd app diff --local --server-side-generate tərəfindən təmin edilən POST /api/v1/applications/manifestsWithFiles vasitəsilə faylları yükləyə bilər. Yükləmə yolu üçün mövcud Application üzərində yalnız Application get icazəsi tələb olunur, Application update və ya sync icazəsi yaxud repozitoriyaya yazı girişi tələb edilmir. Kustomize 5.0.0 versiyasında file:// dəstəyi tətbiq edilmişdir, halbuki 4.5.7 bu nəqliyyatı rədd edir; təsirə məruz qalmış Kustomize-ı daha yeni versiya ilə əvəz etmək tək başına çatışmayan seçim ayırıcısını düzəltmir. Bu problem 3.3.15, 3.4.10, 3.5.4 və 3.6.0-rc2 versiyalarında aradan qaldırılmışdır.