CVE-2026-54526

Argo Workflows, Kubernetes üzerinde paralel işleri yönetmek için kullanılan açık kaynaklı ve konteyner tabanlı bir iş akışı motorudur. 3.7.15 ve 4.0.6 sürümlerinden önce, CVE-2026-31892 için uygulanan izin listesi düzeltmesi eksiktir çünkü workflow/util/merge.go içerisindeki ValidateUserOverrides ve SanitizeUserWorkflowSpec fonksiyonları, yansıma (reflection) yoluyla yalnızca WorkflowSpec'in üst düzey alanlarını taramaktadır ve WorkflowSpec.ArtifactGC tamamen izin listesine alınmıştır; bu alanın arkasındaki yapı olan WorkflowLevelArtifactGC, içeriği değiştirilmeden artifact-GC pod'undaki util.ApplyPodSpecPatch fonksiyonuna aktarılan bir PodSpecPatch alt alanına sahiptir. Bu durum, orijinal düzeltmenin WorkflowSpec.PodSpecPatch için kapattığı aynı veri akış noktasıdır. Dolayısıyla, templateReferencing: Strict veya Secure modunda (çıktı artefaktı tanımlayan referanslı bir WorkflowTemplate'e karşı ve spec.artifactGC.strategy: OnWorkflowCompletion ayarıyla) bir Workflow gönderen kullanıcı; hostPath bölümleri, privileged: true, rastgele imaj ve komut ile hostNetwork: true dahil olmak üzere, artifact-GC pod'una keyfi bir stratejik birleştirme yaması (strategic merge patch) enjekte edebilir ve böylece Strict/Secure referans modunun belirtilen amacını etkisiz hale getirebilir. Bu sorun 3.7.15 ve 4.0.6 sürümlerinde düzeltilmiştir.