Argo Cd · Argo Cd · CVE-2025-59537
**Nome do Software Vulnerável e Versões Afetadas**
Versões do Argo CD 1.2.0 a 1.8.7
Versões do Argo CD 2.0.0-rc1 a 2.14.19
Versões do Argo CD 3.0.0-rc1 a 3.2.0-rc1
Versão do Argo CD 3.1.7
Versão do Argo CD 3.0.18
**Descrição**
O Argo CD está suscetível a requisições de API maliciosas que podem levar a uma negação de serviço, causando a falha do servidor de API e interrompendo o serviço para usuários legítimos. Especificamente, o endpoint `/api/webhook` é vulnerável quando o `webhook.gogs.secret` não está configurado. Neste cenário, receber um evento de push do Gogs com um campo JSON `commits[].repo` ausente ou nulo causa a falha do processo `argocd-server`. A função `affectedRevisionInfo` carece de validação adequada da estrutura de dados para tipos de eventos de webhook, permitindo que um atacante explore isso enviando dados manipulados. A vulnerabilidade reside na função `Handler`, que analisa mensagens do tipo webhook com base nos parâmetros `header` e `body`. A função `Parse` desserializa mensagens do tipo JSON sem validação estrita. Um atacante pode enviar repetidamente requisições não autenticadas para o endpoint `/api/webhook` para causar uma negação de serviço.
**Recomendações**
Para as versões 1.2.0 a 1.8.7, configure um segredo de webhook para garantir que apenas partes confiáveis possam invocar o manipulador de webhook.
Para as versões 2.0.0-rc1 a 2.14.19, configure um segredo de webhook para garantir que apenas partes confiáveis possam invocar o manipulador de webhook.
Para as versões 3.0.0-rc1 a 3.2.0-rc1, configure um segredo de webhook para garantir que apenas partes confiáveis possam invocar o manipulador de webhook.
Para a versão 3.1.7, configure um segredo de webhook para garantir que apenas partes confiáveis possam invocar o manipulador de webhook.
Para a versão 3.0.18, configure um segredo de webhook para garantir que apenas partes confiáveis possam invocar o manipulador de webhook.
Se o Gogs não for utilizado, defina o `webhook.gogs.secret` para um valor longo e aleatório para desabilitar o processamento de payload do Gogs.