CVE-2026-113709

Argo CD, Kubernetes için deklaratif bir GitOps sürekli teslimat aracıdır. 2.1.0 sürümünden itibaren 3.3.15, 3.4.10, 3.5.4 ve 3.6.0-rc2 sürümlerine kadar, bir operatör kustomize build için --enable-helm özelliğini etkinleştirdiğinde, helmGlobals.configHome, Helm'in yapılandırma ve veri dizinlerini depo kontrollü bir konuma yönlendirebilir. Helm, ayrı bir eklenti kurulum adımı olmaksızın `<configHome>/.data/plugins` konumundan otomatik olarak bir indirici eklentisi yükler ve bir helmCharts depo URL'si eklentinin protokolünü kullandığında bu programı argocd-repo-server içinde çalıştırır. Komut, repo-server kullanıcısı olarak çalışır ve depo kimlik bilgilerini ile erişilebilir diğer süreç verilerini okuyabilir. Bir saldırgan, Kustomization ve eklentiyi bir Uygulamanın oluşturduğu bir Git deposuna gönderebilir veya dosyaları, aynı zamanda argocd app diff --local --server-side-generate tarafından da sunulan POST /api/v1/applications/manifestsWithFiles üzerinden yükleyebilir. Yükleme yolu, mevcut bir Uygulama üzerinde Uygulama güncelleme veya senkronizasyon izni ya da depoya yazma erişimi gerektirmeden yalnızca Uygulama get izni gerektirir. Her iki teslimat yolu da önceden operatör tarafından --enable-helm özelliğinin etkinleştirilmesini gerektirir; bunu etkinleştirmeyen dağıtımlar etkilenmez. Kustomize 4.1.0, helmGlobals.configHome değerini ilk kez Helm'e aktarmıştır. Bu sorun 3.3.15, 3.4.10, 3.5.4 ve 3.6.0-rc2 sürümlerinde düzeltilmiştir.