‹ Volver al listado

CVE-2026-113672

Estado: Pendiente de análisisCrítica (9.9)—
Gravedad9.9Crítica · CVSS 3.1
Probabilidad de explotación—en los próximos 30 días
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

Noticias y reportajes en Orbitaley

Argo CD es una herramienta declarativa de entrega continua GitOps para Kubernetes. Desde la versión 0.9.0 hasta la 3.3.15, la 3.4.10, la 3.5.4 y la 3.6.0-rc2, el repo-server evalúa archivos .jsonnet con un importador que no restringe import, importstr ni importbin a la raíz del repositorio.

Leer descripción completaMostrar menos

Las rutas absolutas, el recorrido de directorios padre (path traversal) y los enlaces simbólicos del repositorio permiten abrir cualquier archivo legible por el repo-server, incluidos /proc/self/environ, los tokens de cuenta de servicio proyectados, las claves privadas montadas y las credenciales del repositorio. Aunque los Secrets generados se redactan, al colocar el contenido importado en un ConfigMap los datos se devuelven a quien hace la llamada. Usar importstr sobre un dispositivo que no termina, como /dev/zero, puede agotar la memoria del repo-server. Un atacante puede confirmar un archivo .jsonnet en un repositorio Git utilizado por una Application o subir el archivo mediante POST /api/v1/applications/manifestsWithFiles, endpoint también expuesto por argocd app diff --local --server-side-generate. Las Applications de tipo directorio evalúan todos los archivos .jsonnet del directorio de la aplicación. La ruta de subida solo requiere el permiso get sobre una Application de tipo directorio existente, sin permisos de update o sync sobre Application ni acceso de escritura al repositorio. Este fallo está corregido en las versiones 3.3.15, 3.4.10, 3.5.4 y 3.6.0-rc2.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
9.9
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Probabilidad de explotación (EPSS)

FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:N/PR:L/UI:N: con privilegios bajos (get sobre una Application) se usa importstr/import sin confinar para leer /proc/self/environ, tokens y claves; /dev/zero agota la memoria.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementFilter Network TrafficUpdate SoftwareActive Directory ConfigurationVulnerability ScanningUser Training

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Argoproj — Argo CDAI

CWE

Referencias

Mostrar las 10 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-113672",
  "cveTags": [],
  "metrics": {
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 9.9,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 6,
        "exploitabilityScore": 3.1
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "argoproj",
          "product": "argo-cd",
          "versions": [
            {
              "status": "affected",
              "version": ">= 0.9.0, < 3.3.1"
            },
            {
              "status": "affected",
              "version": ">= 3.4.0-rc1, < 3.4.10"
            },
            {
              "status": "affected",
              "version": ">= 3.5.0-rc1, < 3.5.4"
            },
            {
              "status": "affected",
              "version": ">= 3.6.0-rc1, < 3.6.0-rc2"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-20T18:17:20.950",
  "references": [
    {
      "url": "https://argo-cd.readthedocs.io/en/stable/user-guide/tool_detection/#disable-built-in-tools",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/commit/27471d524958878e7acc5131fb466b292079cd05",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/pull/561",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/releases/tag/v3.3.15",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/releases/tag/v3.4.10",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/releases/tag/v3.5.4",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/releases/tag/v3.6.0-rc2",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/security/advisories/GHSA-3v3m-wc6v-x4x3",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/security/advisories/GHSA-6gcg-hp2x-q54h",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/argoproj/argo-cd/security/advisories/GHSA-m3vr-7329-44ww",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-22"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. From 0.9.0 until 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2, the repo-server evaluates .jsonnet files with an importer that does not confine import, importstr, or importbin to the repository root. Absolute paths, parent-directory traversal, and repository symlinks can open any file readable by the repo-server, including /proc/self/environ, projected service-account tokens, mounted private keys, and repository credentials. Although generated Secrets are redacted, placing imported contents in a ConfigMap returns the data to the caller. Using importstr on a non-terminating device such as /dev/zero can exhaust repo-server memory. An attacker can commit a .jsonnet file to a Git repository used by an Application or upload the file through POST /api/v1/applications/manifestsWithFiles, also exposed by argocd app diff --local --server-side-generate. Directory applications evaluate every .jsonnet file in the application directory. The upload path requires only Application get permission on an existing directory Application, without Application update or sync permission or repository write access. This issue is fixed in versions 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2."
    }
  ],
  "lastModified": "2026-10-20T19:59:00.607",
  "sourceIdentifier": "security-advisories@github.com"
}