CVE-2026-113709

Argo CD, Kubernetes üçün deklarativ, GitOps davamlı çatdırılma alətidir. Versiya 2.1.0-dan başlayaraq 3.3.15, 3.4.10, 3.5.4 və 3.6.0-rc2 versiyalarına qədər, operator kustomize build üçün --enable-helm parametrini aktiv etdikdə, helmGlobals.configHome Helm-in konfiqurasiya və məlumat kataloqlarını repozitoriya tərəfindən idarə olunan yerə yönləndirə bilər. Helm, ayrıca plagin quraşdırma addımı olmadan `<configHome>/.data/plugins` qovluğundan yükləyici plaginini avtomatik yükləyir və helmCharts repozitoriya URL-i plaginin protokolundan istifadə etdikdə proqramı argocd-repo-server daxilində icra edir. Əmr repo-server istifadəçisi kimi işləyir və repozitoriya etibarnamələrini və digər proses tərəfindən əlçatan olan məlumatları oxuya bilir. Hücumçu Kustomization və plagini bir Application-ın qurduğu Git repozitoriyasına commit edə və ya faylları POST /api/v1/applications/manifestsWithFiles vasitəsilə yükləyə bilər ki, bu da argocd app diff --local --server-side-generate tərəfindən təmin edilir. Yükləmə yolu mövcud Application üzərində yalnız Application get icazəsini tələb edir, Application update və ya sync icazəsi yaxud repozitoriyaya yazı girişi tələb olunmur. Hər iki çatdırılma yolu operatorun öncədən --enable-helm parametrini aktiv etməsini tələb edir; bunu aktiv etməyən deployment-lər təsirlənmir. Kustomize 4.1.0 ilk dəfə helmGlobals.configHome parametrini Helm-ə ötürmüşdür. Bu problem 3.3.15, 3.4.10, 3.5.4 və 3.6.0-rc2 versiyalarında düzəldilmişdir.