Cross-Site-Scripting mit erhöhten Rechten in Argo CD

Beschreibung

Durch unzureichende Filterung der URL-Protokolle in den link.argocd.argoproj.io-Annotationen kann ein Angreifer in der Argo-CD-Oberflaeche einen javascript:-Link einschleusen. Klickt ein Opfer darauf, wird das Skript mit dessen Rechten bis hin zu Admin ausgeführt und erlaubt beliebige Aktionen über die API. Betroffen sind alle ungepatchten Versionen ab v1.0.0. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Update auf Argo CD 2.10.3, 2.9.8 oder 2.8.12.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Argo CD

• argocd-mcp 0.8.0: HTTP-Transport ohne Zugriffsschutz auf allen Netzwerkschnittstellen CVE-2026-82456
• Argo Workflows: Allow-List-Fix zu CVE-2026-31892 vor 3.7.15/4.0.6 unvollständig CVE-2026-54526
• Argo Workflows: unbefugter Zugriff auf WorkflowTemplates und eingebettete Secrets CVE-2026-28229
• Argo CD: Offenlegung von Repository-Zugangsdaten über Projekt-API CVE-2025-55190
• Argo CD: Umgehung des Brute-Force-Schutzes beim Login CVE-2024-21652
• Argo CD: Offenlegung vollständiger Cluster-Secrets über last-applied-configuration-Annotation CVE-2023-40029