PT-2025-36094 · Argo Cd · Argo Cd
Ntammineni5
·
Publicado
2025-09-04
·
Atualizado
2026-05-18
·
CVE-2025-55190
CVSS v3.1
9.9
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Argo CD de 2.13.0 a 2.13.8
Versões do Argo CD de 2.14.0 a 2.14.15
Versões do Argo CD de 3.0.0 a 3.0.12
Versão do Argo CD 3.1.0-rc1 a 3.1.1
Descrição
O Argo CD, uma ferramenta de entrega contínua GitOps declarativa para Kubernetes, contém uma falha onde tokens de API com permissões em nível de projeto podem recuperar credenciais sensíveis do repositório (nomes de usuário, senhas) através do endpoint da API de detalhes do projeto, mesmo quando o token não possui acesso explícito a segredos. Esta vulnerabilidade afeta qualquer token com permissões de 'get' de projeto, incluindo permissões globais como
p, role/user, projects, get, *, allow. Aproximadamente 488.000+ serviços e 89.000+ resultados foram encontrados utilizando o Argo CD.Recomendações
Versões do Argo CD anteriores a 2.13.9
Versões do Argo CD anteriores a 2.14.16
Versões do Argo CD anteriores a 3.0.14
Versões do Argo CD anteriores a 3.1.2
Exploit
Correção
RCE
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Argo Cd