Veille sécuritéCloud & DevOps
P3Critique
Argo CD n’appliquait pas les contrôles d’autorisation AppProject aux hooks de ressources PostDelete, contrairement aux hooks de synchronisation ordinaires. Un utilisateur pouvant écrire dans le dépôt Git de l’application pouvait ainsi faire créer, lors de sa suppression, une ressource interdite par le contrôleur avec les droits du cluster de destination.
Kubernetes
IdentifiantCVE-2026-77459
GravitéCritique
Exploitationnon connue / non déterminée
Correctif3.3.15, 3.4.10, 3.5.4, 3.6.0-rc2
Source : NVD — CVE-2026-77459
Analyse technique
Le contournement porte sur les restrictions de destination et les listes d’autorisation/refus de ressources, notamment pour des ressources à portée cluster. Les hooks PreSync, Sync, PostSync et SyncFail restent soumis aux contrôles normaux; score NVD indiqué : 9.9.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-13 à 21:17:46.050+02:00, avant la borne exclusive du 2026-10-14T00:00:00+02:00. L’avis GitHub consulté confirme l’existence de l’avis, publié le 7 octobre; la date de publication NVD est l’événement retenu pour la période.
ImpactCréation de ressources normalement interdites, dans les limites des droits du contrôleur sur le cluster de destination.
Versions affectéesArgo CD à partir de 2.10.0 et antérieur aux versions corrigées 3.3.15, 3.4.10, 3.5.4 et 3.6.0-rc2; limites exactes par branche non précisées dans les éléments vérifiés
Version corrigée3.3.15, 3.4.10, 3.5.4, 3.6.0-rc2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.9
Publication2026-10-13T21:17:46.050+02:00
Mise à jour2026-10-13T21:17:46.050+02:00
Action recommandée
Mettre à niveau Argo CD vers une version corrigée de la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).