Cross-Site-Scripting in Argo CD

Beschreibung

In Argo CD vor den Versionen 2.13.8, 2.14.13 und 3.0.4 kann ein Angreifer über die API beliebige Aktionen im Namen des Opfers ausführen. Ursache ist eine unzureichende Filterung von URL-Protokollen auf der Repository-Seite, wodurch ein Angreifer mit Bearbeitungsrecht am Repository Cross-Site-Scripting erreichen kann. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Update auf 2.13.8, 2.14.13 oder 3.0.4.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Argo CD

• Argo Workflows: unbefugter Zugriff auf WorkflowTemplates und eingebettete Secrets CVE-2026-28229
• Argo CD: Offenlegung von Repository-Zugangsdaten über Projekt-API CVE-2025-55190
• Argo CD: Umgehung des Brute-Force-Schutzes beim Login CVE-2024-21652
• Argo CD: Offenlegung vollständiger Cluster-Secrets über last-applied-configuration-Annotation CVE-2023-40029
• Argo CD Image Updater: Umgehung von Namespace-Grenzen CVE-2026-6388
• Argo CD: unautorisierter Zugriff auf Redis ermöglicht Rechteausweitung CVE-2024-31989