‹ Volver al listado

CVE-2026-77459

Estado: Pendiente de análisisCrítica (9.9)—
Gravedad9.9Crítica · CVSS 3.1
Probabilidad de explotación0.72 %mayor que el 53 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

Noticias y reportajes en Orbitaley

Argo CD es una herramienta declarativa de entrega continua GitOps para Kubernetes. Desde la versión 2.10.0 hasta la 3.3.15, la 3.4.10, la 3.5.4 y la 3.6.0-rc2, Argo CD crea hooks de recursos PostDelete sin aplicar las comprobaciones de destino y de autorización de recursos de AppProject que se utilizan durante la sincronización ordinaria. Las comprobaciones omitidas incluyen las listas de permitidos y denegados de recursos con ámbito de clúster y con ámbito de espacio de nombres.

Leer descripción completaMostrar menos

Un usuario que puede escribir en el repositorio Git de una Application puede confirmar un hook de eliminación que apunte a un espacio de nombres, servidor, grupo, tipo (kind) o nombre de recurso prohibido, y la eliminación de la Application provoca que el application-controller cree dicho recurso con sus credenciales del clúster de destino. El impacto alcanzable está limitado por el acceso al clúster del controlador, pero puede incluir recursos con ámbito de clúster, espacios de nombres no permitidos, objetos de hook persistentes y objetos secundarios creados por un Job de hook. Los hooks PreSync, Sync, PostSync y SyncFail siguen utilizando las comprobaciones normales del proyecto. Este problema está corregido en las versiones 3.3.15, 3.4.10, 3.5.4 y 3.6.0-rc2.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
9.9
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.72 %
Percentil entre todas las CVEs puntuadas
53
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:N/PR:L: un usuario con escritura en el repositorio Git crea hooks PostDelete que el controlador ejecuta con sus credenciales de clúster, saltando las comprobaciones del AppProject.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Network SegmentationVulnerability ScanningUser Account ManagementThreat Intelligence ProgramPrivileged Account ManagementLimit Access to Resource Over Network

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Argoproj — Argo CDAI

CWE

Referencias

Mostrar las 9 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-77459",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-77459",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-14T15:27:27.557503Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 9.9,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 6,
        "exploitabilityScore": 3.1
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "argoproj",
          "product": "argo-cd",
          "versions": [
            {
              "status": "affected",
              "version": ">= 2.10.0, <= 2.14.21"
            },
            {
              "status": "affected",
              "version": ">= 3.0.0, < 3.3.15"
            },
            {
              "status": "affected",
              "version": ">= 3.4.0, < 3.4.10"
            },
            {
              "status": "affected",
              "version": ">= 3.5.0, < 3.5.4"
            },
            {
              "status": "affected",
              "version": ">= 3.6.0-rc1, < 3.6.0-rc2"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-13T17:17:46.050",
  "references": [
    {
      "url": "https://github.com/argoproj/argo-cd/commit/1149cdc6e932208c4402183cc3d7b7485239940c",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/commit/4bc8085b0a6d2296b849539d3d09fc7be7a4a511",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/commit/7f0a05834b05103d69d7c150e1ee36541b314696",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/commit/d5dd7019ee65be8895133fe4df554e28074242c4",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/releases/tag/v3.3.15",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/releases/tag/v3.4.10",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/releases/tag/v3.5.4",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/releases/tag/v3.6.0-rc2",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/security/advisories/GHSA-fmxq-cgp8-87wp",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-863"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. From 2.10.0 until 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2, Argo CD creates PostDelete resource hooks without applying the AppProject destination and resource authorization checks used during ordinary synchronization. The omitted checks include cluster-scoped and namespaced resource allow/deny lists. A user who can write to an Application's Git repository can commit a delete hook targeting a forbidden namespace, server, group, kind, or resource name, and deletion of the Application causes the application-controller to create that resource with its destination-cluster credentials. The reachable impact is bounded by the controller's cluster access but can include cluster-scoped resources, disallowed namespaces, persistent hook objects, and secondary objects created by a hook Job. PreSync, Sync, PostSync, and SyncFail hooks continue to use the normal project checks. This issue is fixed in versions 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2."
    }
  ],
  "lastModified": "2026-10-16T16:00:33.533",
  "sourceIdentifier": "security-advisories@github.com"
}