Argo CD

In argocd-mcp 0.8.0 bindet der HTTP-Transport an alle Netzwerkschnittstellen und akzeptiert MCP-Sitzungen ohne Anmeldedaten des Aufrufers, sofern ARGOCD_API_TOKEN konfiguriert ist. Angreifer mit Netzwerkzugriff auf den Dienst können dadurch ohne Authentifizierung auf die MCP-Schnittstelle zugreifen. CVSS-Basiswert: 10 (Kritisch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Argo Workflows ist eine Open-Source-Workflow-Engine für Kubernetes. Laut NVD erlauben vor den Versionen 4.0.2 und 3.7.11 die WorkflowTemplate-Endpunkte jedem Client, WorkflowTemplates und ClusterWorkflowTemplates abzurufen; jede Anfrage mit einem beliebigen Bearer-Token kann sensiblen Template-Inhalt inklusive eingebetteter Secret-Manifeste offenlegen. CVSS-Basiswert: 9.8 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: Auf Argo Workflows 4.0.2 oder 3.7.11 aktualisieren.

Im Argo CD Image Updater wurde eine Schwachstelle gefunden, die es einem Angreifer mit Berechtigungen zum Erstellen oder Ändern einer ImageUpdater-Ressource in einer mandantenfähigen Umgebung ermöglicht, Namespace-Grenzen zu umgehen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Argo Workflows ist eine Open-Source-Workflow-Engine zur Orchestrierung paralleler Jobs auf Kubernetes. Vor den Versionen 3.7.15 und 4.0.6 ist der zuvor eingeführte Allow-List-Fix für CVE-2026-31892 unvollständig. CVSS-Basiswert: 9.9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Argo Workflows 3.7.15 oder 4.0.6.

Argo CD ist ein deklaratives GitOps-Continuous-Delivery-Werkzeug für Kubernetes. In den Versionen 2.13.0 bis 2.13.8, 2.14.0 bis 2.14.15, 3.0.0 bis 3.0.12 sowie 3.1.0-rc1 bis 3.1.1 können API-Tokens mit projektbezogenen Berechtigungen über den Projekt-Detail-Endpunkt sensible Repository-Zugangsdaten (Benutzernamen, Passwörter) abrufen, auch ohne expliziten Zugriff auf Secrets. Betroffen ist jedes Token mit project-get-Berechtigung, einschliesslich globaler Berechtigungen. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: auf Version 2.13.9, 2.14.16, 3.0.14 oder 3.1.2 aktualisieren.

In Argo CD vor den Versionen 2.13.8, 2.14.13 und 3.0.4 kann ein Angreifer über die API beliebige Aktionen im Namen des Opfers ausführen. Ursache ist eine unzureichende Filterung von URL-Protokollen auf der Repository-Seite, wodurch ein Angreifer mit Bearbeitungsrecht am Repository Cross-Site-Scripting erreichen kann. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Update auf 2.13.8, 2.14.13 oder 3.0.4.

In Argo CD, einem deklarativen GitOps-Werkzeug für Kubernetes, kann sich ein unprivilegierter Pod aus einem anderen Namespace desselben Clusters mit dem Redis-Server auf Port 6379 verbinden. Ohne strikte Zugriffskontrollen kann dies zu einer Rechteausweitung bis auf die Ebene des Cluster-Controllers oder zu Informationsabfluss führen. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: auf Version 2.8.19, 2.9.15 oder 2.10.10 aktualisieren und Netzwerkrichtlinien für den Redis-Zugriff durchsetzen.

Argo CD ist ein deklaratives GitOps-Werkzeug für Continuous Delivery unter Kubernetes. In Versionen vor 2.8.13, 2.9.9 und 2.10.4 kann ein Angreifer eine Kette von Schwachstellen ausnutzen, darunter eine Denial-of-Service-Lücke und eine Schwäche bei der In-Memory-Datenspeicherung, um den Brute-Force-Schutz des Logins wirksam zu umgehen. Dadurch lässt sich nicht nur der Dienst zum Absturz bringen und damit alle Nutzer beeinträchtigen, sondern es sind auch unbegrenzte Anmeldeversuche möglich. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf 2.8.13, 2.9.9 beziehungsweise 2.10.4.

Durch unzureichende Filterung der URL-Protokolle in den link.argocd.argoproj.io-Annotationen kann ein Angreifer in der Argo-CD-Oberflaeche einen javascript:-Link einschleusen. Klickt ein Opfer darauf, wird das Skript mit dessen Rechten bis hin zu Admin ausgeführt und erlaubt beliebige Aktionen über die API. Betroffen sind alle ungepatchten Versionen ab v1.0.0. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Update auf Argo CD 2.10.3, 2.9.8 oder 2.8.12.

In Argo CD können Cluster-Secrets deklarativ verwaltet werden; dabei wird der vollständige Secret-Inhalt in der Annotation kubectl.kubernetes.io/last-applied-configuration gespeichert. Mit der Möglichkeit, Cluster-Labels und -Annotationen zu verwalten, wird dieser Inhalt exponiert – ein Nutzer mit clusters,get-RBAC-Recht kann über die Argo-CD-API sensible Daten wie Bearer-Token einsehen. CVSS-Basiswert: 9.9 (Kritisch). Behoben in den Versionen 2.8.3, 2.7.14 und 2.6.15. Empfohlene Massnahme: auf eine dieser Versionen aktualisieren; wer nicht aktualisieren kann, sollte Cluster-Secrets mit dem server-side-apply-Flag ausbringen.

Argo Workflows ist eine quelloffene, container-native Workflow-Engine für Kubernetes. Vor den Versionen 3.7.14 und 4.0.5 lädt der Webhook-Interceptor den gesamten Anfrage-Body in den Speicher, bevor die Anfrage authentifiziert oder ihre Signatur geprüft wird. Dies betrifft den öffentlich erreichbaren Endpunkt /api/v1/events/, sodass ein Angreifer mit einem extrem grossen Body (z. B. mehrere Gigabyte) den Argo-Server zu übermässiger Speicherbelegung und damit zu einem Out-of-Memory-Absturz und Denial of Service bringen kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: Aktualisierung auf Version 3.7.14 bzw. 4.0.5.

Argo Workflows ist eine quelloffene, container-native Workflow-Engine zur Orchestrierung paralleler Jobs auf Kubernetes. In den Versionen 4.0.0 bis vor 4.0.5 führt der ConfigMap-basierte Provider des Sync-Service (server/sync/sync_cm.go) bei sämtlichen CRUD-Operationen keinerlei Autorisierungsprüfungen durch. Jeder authentifizierte Benutzer – auch mit gefälschten Bearer-Tokens – kann Kubernetes-ConfigMaps mit Synchronisationslimits anlegen, lesen, ändern und löschen. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf Version 4.0.5 aktualisieren.

Argo Workflows ist eine quelloffene, container-native Workflow-Engine zur Orchestrierung paralleler Jobs auf Kubernetes. Vor den Versionen 3.7.14 und 4.0.5 kann ein Benutzer mit Berechtigung zum Erstellen von Workflows die Vorgabe templateReferencing: Strict umgehen und so Host-Netzwerkzugriff erlangen, Service-Accounts wechseln, den Pod-Security-Context überschreiben, Tolerations für die Einplanung auf Control-Plane-Knoten hinzufügen oder das Einhängen von SA-Tokens aktivieren. Die praktische Auswirkung hängt von den vorhandenen Kubernetes-Kontrollen ab. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 3.7.14 bzw. 4.0.5 aktualisieren.

Argo Workflows ist eine quelloffene, container-native Workflow-Engine für Kubernetes. In Versionen ab 2.9.0 vor 4.0.2 und 3.7.11 kann ein Nutzer, der Workflows einreichen darf, sämtliche in einem WorkflowTemplate definierten Sicherheitseinstellungen umgehen, indem er ein podSpecPatch-Feld in seine Workflow-Einreichung aufnimmt. Dies wirkt selbst bei templateReferencing: Strict, da podSpecPatch beim Spec-Merge Vorrang hat und ohne Sicherheitsvalidierung direkt auf die Pod-Spec angewendet wird. Behoben in 4.0.2 und 3.7.11. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Version 4.0.2 bzw. 3.7.11.

Argo Workflows ist eine container-native Workflow-Engine für die Orchestrierung paralleler Jobs auf Kubernetes. In den Versionen 3.6.5 bis 4.0.4 führt ein ungeprüfter Array-Index in der Funktion podGCFromPod() des Pod-Informers zu einer Controller-weiten Panik, wenn ein Workflow-Pod eine fehlerhafte Annotation workflows.argoproj.io/pod-gc-strategy trägt. Da die Panik in einer Informer-Goroutine ausserhalb des recover()-Bereichs auftritt, stürzt der gesamte Controller-Prozess ab; der vergiftete Pod überdauert Neustarts und löst eine Absturzschleife aus, die jede Workflow-Verarbeitung blockiert, bis der Pod manuell gelöscht wird. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 4.0.5 bzw. 3.7.14 aktualisieren.

In Argo CD, einem deklarativen GitOps-Werkzeug für Continuous Delivery unter Kubernetes, können Benutzer mit Schreibzugriff auf Anwendungen vor den Versionen 3.2.12, 3.3.10 und 3.4.2 Annotationen des Typs link.argocd.argoproj.io/* setzen. Weitere Details zur Auswirkung liegen in den übernommenen Quelldaten nur teilweise vor. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das Argo CD Helm Chart installiert vor Version 10.0.0 standardmässig keine Netzwerkrichtlinien, wodurch jeder Pod im Cluster auf den Repo-Server und weitere Argo-APIs zugreifen kann. Angreifer können diesen uneingeschränkten Netzwerkzugriff ausnutzen. CVSS-Basiswert: 7.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Argo CD 3.2.0 vor 3.2.11 sowie 3.3.0 vor 3.3.9 erlaubt die Funktion ServerSideDiff das Auslesen von Kubernetes-Secret-Daten im Klartext. Die Schwachstelle ist über das Netzwerk mit niedrigen Rechten ausnutzbar und wirkt sich auf die Vertraulichkeit aus. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Argo CD 3.2.11 bzw. 3.3.9 oder neuer aktualisieren.

JWT-Tokens, die von Workern in Kubernetes-Executors verwendet werden, waren für Benutzer mit ausschliesslich lesendem Zugriff auf Kubernetes-Pods einsehbar. Dadurch könnten Benutzer mit reinem Lesezugriff Aktionen ausführen, die eigentlich nur laufenden Tasks über das Task SDK vorbehalten waren, und möglicherweise den Zustand der Airflow-Datenbank verändern. CVSS-Basiswert: 8.7 (Hoch).

Argo Workflows ist eine container-native Workflow-Engine zur Orchestrierung paralleler Jobs auf Kubernetes. Versionen 3.6.13 und darunter sowie 3.7.0 bis 3.7.4 enthalten unsicheren untar-Code, der symbolische Links in Archiven verarbeitet; die Berechnung des Link-Ziels und die anschliessende Prüfung sind fehlerhaft. Ein Angreifer kann dadurch die Datei /var/run/argo/argoexec mit einem eigenen Skript überschreiben, das beim Start des Pods ausgeführt wird. Der gegen CVE-2025-62156 eingespielte Patch ist gegen bösartige Archive mit symbolischen Links wirkungslos. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 3.6.14 oder 3.7.5.

Argo Workflows ist eine container-native Workflow-Engine für Kubernetes. In Versionen vor 3.6.12 sowie 3.7.0 bis 3.7.2 besteht bei der Artefakt-Extraktion eine Zip-Slip-Pfadtraversierung. Die Entpack-Logik validiert nicht, dass der Eintragsname innerhalb des vorgesehenen Zielverzeichnisses bleibt, sodass ein boesartiges Archiv Dateien ausserhalb des Extraktionspfads in Systemverzeichnisse wie /etc schreiben kann. Dies ermöglicht das Anlegen oder Überschreiben beliebiger Dateien und kann zu Rechteausweitung oder Persistenz im Container führen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Update auf Argo Workflows 3.6.12 oder 3.7.3.

Argo CD ist ohne konfiguriertes webhook.bitbucketserver.secret anfällig für böswillige API-Anfragen, die den API-Server zum Absturz bringen können. Der Endpunkt /api/webhook stürzt bei einer fehlerhaften Bitbucket-Server-Payload ab, bei der das Feld repository.links.clone kein Array ist. Eine einzelne nicht authentifizierte Anfrage löst ein CrashLoopBackOff aus; werden alle Replicas angegriffen, kommt es zu einem vollständigen API-Ausfall. Betroffen sind die Versionen 1.2.0 bis 1.8.7, 2.0.0-rc1 bis 2.14.19, 3.0.0-rc1 bis 3.2.0-rc1 sowie 3.1.7 und 3.0.18. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 2.14.20, 3.2.0-rc2, 3.1.8 oder 3.0.19.

Argo CD ist ein deklaratives GitOps-Tool für Kubernetes. In den Versionen 1.2.0 bis 1.8.7, 2.0.0-rc1 bis 2.14.19, 3.0.0-rc1 bis 3.2.0-rc1 sowie 3.1.7 und 3.0.18 lassen sich über bösartige API-Anfragen der API-Server zum Absturz bringen und damit ein Denial of Service für legitime Clients auslösen. In der Standardkonfiguration ohne gesetztes webhook.gogs.secret bringt laut Quelle ein Gogs-Push-Event, dessen JSON-Feld commits[].repo nicht gesetzt oder null ist, den gesamten argocd-server-Prozess über den Endpunkt /api/webhook zum Absturz. Behoben ist die Schwachstelle in den Versionen 2.14.20, 3.2.0-rc2, 3.1.8 und 3.0.19. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf die genannten oder neuere Versionen aktualisieren.

In Argo CD führt laut Projektangabe ein Azure-DevOps-Push-Event mit leerem resource.refUpdates-Array beim Aufruf des /api/webhook-Endpunkts zu einem Index-out-of-Range-Panic und damit zum Absturz des gesamten argocd-server-Prozesses, sofern webhook.azuredevops.username und webhook.azuredevops.password nicht gesetzt sind. Ein einzelner nicht authentifizierter HTTP-POST-Request genügt, um den Prozess zu beenden. Betroffen sind die Versionen 2.9.0-rc1 bis 2.14.19, 3.0.0-rc1 bis 3.2.0-rc1 sowie 3.1.6 und 3.0.17. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf Version 2.14.20, 3.2.0-rc2, 3.1.8 oder 3.0.19 aktualisieren.

Argo Workflows ist eine Open-Source-Workflow-Engine für Kubernetes. Bei Verwendung von --auth-mode=client lassen sich archivierte Workflows über den GET-Workflow-Endpunkt /api/v1/workflows/{namespace}/{name} mit einem gefaelschten Token abrufen; bei --auth-mode=sso genuegt laut Quelle bereits ein beliebiges gültiges Token. Ursache ist eine in den Versionen 3.5.7 und 3.5.8 versehentlich entfernte Autorisierungsprüfung für diesen Endpunkt. CVSS-Basiswert: 7.5 (Hoch). Kein EPSS-Wert in den Quelldaten vorhanden. Empfohlene Massnahme: Update auf Version 3.6.2 oder 3.5.13.

Argo CD ist ein deklaratives GitOps-Continuous-Delivery-Tool für Kubernetes. Ein nicht authentifizierter Angreifer kann eine speziell präparierte, grosse JSON-Payload an den Endpunkt /api/webhook senden und dadurch übermässige Speicherallokation auslösen, die zu einem Out-of-Memory-Kill und damit zu einer Dienstunterbrechung führt. Das Problem stellt ein hohes Risiko für die Verfügbarkeit von Argo-CD-Installationen dar. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Auf Version 2.11.6, 2.10.15 oder 2.9.20 aktualisieren.

Argo CD ist ein deklaratives GitOps-Continuous-Delivery-Tool für Kubernetes. Vor den Versionen 2.8.13, 2.9.9 und 2.10.4 kann ein Angreifer durch unsichere Manipulation eines Arrays in einer Multithreading-Umgebung einen Denial of Service auslösen, der die Anwendung für alle Nutzer unbrauchbar macht. Die Schwachstelle erfordert keine Authentifizierung, wodurch der Kreis potenzieller Angreifer vergrössert wird. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 2.8.13, 2.9.9 oder 2.10.4.

Argo CD, ein deklaratives GitOps-Continuous-Delivery-Tool für Kubernetes, schützt Anmeldeversuche vor den Versionen 2.8.13, 2.9.9 und 2.10.4 über einen cache-basierten Mechanismus mit einer Kapazität von 1000 Einträgen. Ein Angreifer kann diesen Cache durch massenhafte Login-Versuche für unterschiedliche Benutzer überlaufen lassen und dadurch fehlgeschlagene Anmeldeversuche des Admin-Kontos verdrängen, wodurch das Rate-Limit für dieses Konto effektiv zurückgesetzt wird. Damit lässt sich der bereits für CVE-2020-8827 vorgesehene Brute-Force-Schutz umgehen und das Standard-Admin-Konto gezielt angreifen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 2.8.13, 2.9.9 oder 2.10.4.

Die Argo-CD-API prüft vor den behobenen Versionen den Content-Type eingehender Anfragen nicht korrekt, wodurch ein Angreifer die CORS-Preflight-Prüfung des Browsers umgehen und eine Cross-Site-Request-Forgery-Attacke ausführen kann. Ein Opfer, das eine präparierte Webseite auf derselben übergeordneten Domain aufruft, kann so unbemerkt zur Ausführung von Aktionen wie dem Anlegen einer Anwendung mit schädlichem Code gebracht werden. Betroffen ist das Produkt Argo CD des Argo Project (CNCF). CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Update auf Version 2.10-rc2, 2.9.4, 2.8.8 oder 2.7.15 (bzw. die angegebene korrigierte Version) einspielen.

Crossplane validiert in Versionen vor 1.11.5, 1.12.3 und 1.13.0 im Image-Backend die Byte-Inhalte von Crossplane-Paketen nicht. Dadurch erkennt Crossplane nicht, wenn ein Angreifer ein Paket manipuliert hat. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Auf Crossplane 1.11.5, 1.12.3 oder 1.13.0 aktualisieren; ersatzweise nur Images aus vertrauenswürdigen Quellen verwenden und Bearbeitungsrechte für Pakete auf Administratoren beschränken.

Argo Workflows, eine container-native Workflow-Engine für Kubernetes, enthält in Versionen ab 4.0.0 und vor 4.0.5 eine Nil-Pointer-Dereferenzierung im Authentifizierungspfad des Servers (server/auth/...), die zu einem Denial of Service führen kann. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Update auf Version 4.0.5 oder neuer.

Argo Workflows ist eine quelloffene, container-native Workflow-Engine zur Orchestrierung paralleler Jobs auf Kubernetes. Von Version 4.0.0 bis vor Version 4.0.5 protokolliert der Workflow-Executor sämtliche Artefakt-Repository-Angaben, wodurch potenziell sensible Informationen in den Logs offengelegt werden. CVSS-Basiswert: 4.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 4.0.5 aktualisieren.

Argo Workflows ist eine quelloffene, container-native Workflow-Engine zur Orchestrierung paralleler Jobs auf Kubernetes. In Versionen vor 3.6.17 und 3.7.8 erlaubt ein Stored-XSS in der Artefakt-Verzeichnisauflistung das Einschleusen von Skripten. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Argo CD, ein deklaratives GitOps-Werkzeug für Continuous Delivery in Kubernetes, kann in den Versionen ab 3.2.0 bis vor 3.2.12, 3.3.10 und 3.4.2 über die Funktion ServerSideDiff in Kubernetes-Secrets eingebettete Werte offenlegen. Dadurch können vertrauliche Informationen preisgegeben werden. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf Argo CD 3.2.12, 3.3.10 bzw. 3.4.2.