Argo CD: CSRF-Schwachstelle durch fehlende Content-Type-Prüfung

Beschreibung

Die Argo-CD-API prüft vor den behobenen Versionen den Content-Type eingehender Anfragen nicht korrekt, wodurch ein Angreifer die CORS-Preflight-Prüfung des Browsers umgehen und eine Cross-Site-Request-Forgery-Attacke ausführen kann. Ein Opfer, das eine präparierte Webseite auf derselben übergeordneten Domain aufruft, kann so unbemerkt zur Ausführung von Aktionen wie dem Anlegen einer Anwendung mit schädlichem Code gebracht werden. Betroffen ist das Produkt Argo CD des Argo Project (CNCF). CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Update auf Version 2.10-rc2, 2.9.4, 2.8.8 oder 2.7.15 (bzw. die angegebene korrigierte Version) einspielen.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Argo CD

• Argo Workflows: unbefugter Zugriff auf WorkflowTemplates und eingebettete Secrets CVE-2026-28229
• Argo CD: Offenlegung von Repository-Zugangsdaten über Projekt-API CVE-2025-55190
• Argo CD: Umgehung des Brute-Force-Schutzes beim Login CVE-2024-21652
• Argo CD: Offenlegung vollständiger Cluster-Secrets über last-applied-configuration-Annotation CVE-2023-40029
• Argo CD Image Updater: Umgehung von Namespace-Grenzen CVE-2026-6388
• Cross-Site-Scripting in Argo CD CVE-2025-47933