| Title | Argo Project AuthorsのArgo CDにおけるクロスサイトスクリプティングの脆弱性 |
|---|---|
| Summary | Argo CDは、Kubernetes向けの宣言型GitOps継続的デリバリーツールです。バージョン3.2.12、3.3.10、および3.4.2より前のバージョンでは、アプリケーション書き込み権限を持つArgo CDユーザーがpipe区切りの値を持つlink.argocd.argoproj.io/*アノテーションを設定でき、その値がui/src/app/applications/components/application-summary/application-summary.tsxのSummaryタブ内のURLsセクションでアンカーのhref値としてURL検証なしにレンダリングされます。これにより、権限の高いユーザーの認証されたArgo CDオリジンセッション上でjavascript:を実行できる脆弱性があります。この問題はバージョン3.2.12、3.3.10、および3.4.2で修正されています。 |
| Possible impacts | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| Solution | ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | July 15, 2026, midnight |
| Registration Date | July 22, 2026, 10:19 a.m. |
| Last Update | July 22, 2026, 10:19 a.m. |
| CVSS3.0 : 重要 | |
| Score | 8.7 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年07月22日] 掲載 |
July 22, 2026, 10:19 a.m. |
| Summary | Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. Prior to 3.2.12, 3.3.10, and 3.4.2, Argo CD users with application write access can set link.argocd.argoproj.io/* annotations whose pipe-separated values are rendered by ui/src/app/applications/components/application-summary/application-summary.tsx in the Summary tab URLs section as anchor href values without URL validation, allowing javascript: execution in a higher-privileged user's authenticated Argo CD origin session. This issue is fixed in versions 3.2.12, 3.3.10, and 3.4.2. |
|---|---|
| Publication Date | July 16, 2026, 5:17 a.m. |
| Registration Date | July 17, 2026, 4:24 a.m. |
| Last Update | July 20, 2026, 11:06 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:argoproj:argo_cd:*:*:*:*:*:*:*:* | 3.2.12 | ||||
| cpe:2.3:a:argoproj:argo_cd:*:*:*:*:*:*:*:* | 3.3.0 | 3.3.10 | |||
| cpe:2.3:a:argoproj:argo_cd:*:*:*:*:*:*:*:* | 3.4.0 | 3.4.2 | |||