CVE-2026-24748

Kargo, yazılım artefaktlarının terfi ettirilmesini yönetir ve otomatikleştirir. 1.8.7, 1.7.7 ve 1.6.3 sürümlerinden önce, `GetConfig()` API uç noktasındaki kimlik doğrulama kontrollerinde bir hata tespit edilmiştir. Bu durum, kimliği doğrulanmamış kullanıcıların, geçerliliğine bakılmaksızın boş olmayan herhangi bir `Bearer` belirteç değeri içeren bir `Authorization` başlığı belirterek bu uç noktaya erişmesine izin vermekteydi. Bu güvenlik açığı, bağlı Argo CD kümeleri için uç noktalar gibi yapılandırma verilerinin sızdırılmasına olanak tanımaktaydı. Bu veriler, bir saldırganın sonraki saldırılarda kullanmak üzere küme URL'lerini ve ad alanlarını (namespaces) listelemesine imkan verebilirdi. Ek olarak, aynı hata `RefreshResource` uç noktasını da etkilemekteydi. Bu uç nokta herhangi bir bilgi ifşasına yol açmasa da, kimliği doğrulanmamış bir saldırgan tarafından Kargo API'sine karşı hizmet reddi tarzında bir saldırı gerçekleştirmek için kullanılabilirdi. `RefreshResource`, uzlaştırmaları tetiklemek için belirli Kubernetes kaynakları üzerinde bir açıklama (annotation) ayarlar. Sürekli bir döngü şeklinde çalıştırılırsa, bu durum Kubernetes API sunucusuna yapılan meşru istekleri de yavaşlatabilirdi. Bu sorun Kargo versiyon 1.8.7, 1.7.7 ve 1.6.3 sürümlerinde düzeltilmiştir. Bu sorun için herhangi bir geçici çözüm bulunmamaktadır.