CVE-2026-54526

Argo Workflows, Kubernetes üzərində paralel tapşırıqları koordinasiya etmək üçün açıq mənbəli konteyner-yerli iş axını mühərrikidir. 3.7.15 və 4.0.6 versiyalarından əvvəl, CVE-2026-31892 üçün tətbiq edilən icazə siyahısı düzəlişi natamamdır, çünki workflow/util/merge.go faylındakı ValidateUserOverrides və SanitizeUserWorkflowSpec funksiyaları refleksiya vasitəsilə WorkflowSpec-in yalnız üst səviyyə sahələrini yoxlayır və WorkflowSpec.ArtifactGC tam şəkildə icazə siyahısına daxil edilib; həmin sahənin arxasındakı struktur olan WorkflowLevelArtifactGC, tərkibi dəyişdirilmədən artifact-GC podunda util.ApplyPodSpecPatch funksiyasına ötürülən PodSpecPatch alt-sahəsinə malikdir. Bu, orijinal düzəlişin WorkflowSpec.PodSpecPatch üçün bağladığı eyni çıxış nöqtəsidir. Beləliklə, templateReferencing: Strict və ya Secure rejimində (çıxış artefaktı təyin edilmiş istinad WorkflowTemplate-ə qarşı və spec.artifactGC.strategy: OnWorkflowCompletion parametrləri ilə) Workflow göndərən istifadəçi hələ də artifact-GC poduna hostPath həcmləri, privileged: true, ixtiyari imic və komanda, həmçinin hostNetwork: true daxil olmaqla, ixtiyari strateji birləşdirmə yaması (strategic merge patch) yerləşdirə bilər ki, bu da Strict/Secure istinad rejiminin təyin olunmuş məqsədini sıradan çıxarır. Bu problem 3.7.15 və 4.0.6 versiyalarında düzəldilmişdir.