CVE-2026-113708

Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. 2.7.0 sürümünden itibaren 3.3.15, 3.4.10, 3.5.4 ve 3.6.0-rc2 sürümlerine kadar olan versiyonlarda Kustomize; uzak kaynak, base veya bileşen URL'lerinden gelen ref veya version sorgu değerlerini, seçenek sonlandırıcı ayırıcı olmadan git fetch işlemine aktarmaktadır. Başında tire bulunan bir değer, uzak kaynak file:// gibi yerel bir taşıma yöntemi kullandığında --upload-pack olarak ayrıştırılabilir ve argocd-repo-server içinde bir komut çalıştırabilir. Git, https:// uzak kaynağı için sağlanan komutu çalıştırmaz. Yerel taşıma işlemi pod dışına çıkmadığı için repo-server çıkış trafiğinin engellenmesi yürütmeyi önlemez. Komut, repo-server kullanıcısı olarak çalışır, depo kimlik bilgilerini ve diğer süreç tarafından erişilebilir verileri okuyabilir ve çıktıları manifest oluşturma hataları aracılığıyla döndürebilir. Bir saldırgan, bir Application tarafından derlenen bir Git deposuna Kustomization commit edebilir veya ayrıca argocd app diff --local --server-side-generate tarafından da sunulan POST /api/v1/applications/manifestsWithFiles üzerinden dosya yükleyebilir. Yükleme yolu, mevcut bir Application üzerinde Application update veya sync izni ya da depo yazma erişimi olmaksızın yalnızca Application get izni gerektirir. Kustomize 5.0.0 ile file:// kabul edilmeye başlanmışken, 4.5.7 bu taşıma yöntemini reddetmektedir; etkilenen Kustomize sürümünün tek başına daha yeni bir sürümle değiştirilmesi eksik seçenek ayırıcısını düzeltmez. Bu sorun 3.3.15, 3.4.10, 3.5.4 ve 3.6.0-rc2 sürümlerinde giderilmiştir.