CVE-2025-47933

XSS w Argo CD — wykonanie akcji w imieniu ofiary via API

CVSS 9.0v3.1pub. 2025-05-29upd. 2025-08-27

Argo CD przed wersjami 2.13.8, 2.14.13 i 3.0.4 zawiera podatność typu XSS wynikającą z nieprawidłowego filtrowania protokołów URL na stronie repozytorium. Atakujący posiadający uprawnienia do edycji repozytorium może wykonywać dowolne akcje w imieniu ofiary poprzez API.

▸ Pokaż oryginał (EN)

Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. Prior to versions 2.13.8, 2.14.13, and 3.0.4, an attacker can perform arbitrary actions on behalf of the victim via the API. Due to the improper filtering of URL protocols in the repository page, an attacker can achieve cross-site scripting with permission to edit the repository. This issue has been patched in versions 2.13.8, 2.14.13, and 3.0.4.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowego filtrowania protokołów URL na stronie repozytorium w Argo CD. Atakujący z uprawnieniami do edycji repozytorium może wstrzyknąć złośliwy payload XSS. Po wejściu ofiary na odpowiednią stronę, payload wykonuje się w jej przeglądarce i pozwala atakującemu na wysyłanie żądań do API Argo CD w kontekście sesji ofiary. Dzięki temu atakujący może przejąć kontrolę nad akcjami wykonywanymi przez ofiarę w aplikacji.

Skutki

Atakujący może wykonywać dowolne akcje poprzez API Argo CD w imieniu zalogowanej ofiary, potencjalnie uzyskując dostęp do poufnych danych konfiguracyjnych, modyfikując zasoby Kubernetes lub eskalując uprawnienia w środowisku GitOps.

Mitygacja

Należy zaktualizować Argo CD do wersji 2.13.8, 2.14.13 lub 3.0.4, w których podatność została naprawiona. Dodatkowo warto ograniczyć uprawnienia do edycji repozytoriów wyłącznie do zaufanych użytkowników.