製品・ソフトウェアに関する情報
脆弱性検索
Argo Project AuthorsのArgo CDにおけるクロスサイトスクリプティングの脆弱性
タイトル Argo Project AuthorsのArgo CDにおけるクロスサイトスクリプティングの脆弱性
概要

Argo CDは、Kubernetes向けの宣言型GitOps継続的デリバリーツールです。バージョン3.2.12、3.3.10、および3.4.2より前のバージョンでは、アプリケーション書き込み権限を持つArgo CDユーザーがpipe区切りの値を持つlink.argocd.argoproj.io/*アノテーションを設定でき、その値がui/src/app/applications/components/application-summary/application-summary.tsxのSummaryタブ内のURLsセクションでアンカーのhref値としてURL検証なしにレンダリングされます。これにより、権限の高いユーザーの認証されたArgo CDオリジンセッション上でjavascript:を実行できる脆弱性があります。この問題はバージョン3.2.12、3.3.10、および3.4.2で修正されています。

想定される影響 ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 
対策

ベンダ情報を参照して適切な対策を実施してください。

公表日 2026年7月15日0:00
登録日 2026年7月22日10:19
最終更新日 2026年7月22日10:19
CVSS3.0 : 重要
スコア 8.7
ベクター CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
変更履歴
No 変更内容 変更日
1 [2026年07月22日]
  掲載		 2026年7月22日10:19
NVD脆弱性情報
CVE-2026-45738
概要

Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. Prior to 3.2.12, 3.3.10, and 3.4.2, Argo CD users with application write access can set link.argocd.argoproj.io/* annotations whose pipe-separated values are rendered by ui/src/app/applications/components/application-summary/application-summary.tsx in the Summary tab URLs section as anchor href values without URL validation, allowing javascript: execution in a higher-privileged user's authenticated Argo CD origin session. This issue is fixed in versions 3.2.12, 3.3.10, and 3.4.2.

公表日 2026年7月16日5:17
登録日 2026年7月17日4:24
最終更新日 2026年7月20日11:06
影響を受けるソフトウェアの構成
構成1 以上 以下 より上 未満
cpe:2.3:a:argoproj:argo_cd:*:*:*:*:*:*:*:* 3.2.12
cpe:2.3:a:argoproj:argo_cd:*:*:*:*:*:*:*:* 3.3.0 3.3.10
cpe:2.3:a:argoproj:argo_cd:*:*:*:*:*:*:*:* 3.4.0 3.4.2
関連情報、対策とツール
共通脆弱性一覧