CVE-2026-42295
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Argo Workflows w wersjach od 4.0.0 do przed 4.0.5 rejestruje w postaci jawnego tekstu wszystkie poświadczenia repozytoriów artefaktów (klucze dostępu S3, klucze tajne, klucze konta usługi GCS, klucze konta Azure, hasła Git itp.) podczas operacji na artefaktach. Każdy użytkownik mający dostęp do odczytu logów podów workflow może wyodrębnić te poświadczenia. Problem został naprawiony w wersji 4.0.5.
Ocena ryzyka
Ryzyko polega na możliwości wycieku wrażliwych poświadczeń do repozytoriów artefaktów przez osoby z dostępem do logów podów, co może prowadzić do nieautoryzowanego dostępu do zasobów chmurowych i repozytoriów kodu.
Rekomendacja
Zaleca się natychmiastową aktualizację Argo Workflows do wersji 4.0.5 lub nowszej oraz rotację wszystkich poświadczeń, które mogły być ujawnione.
Oryginalny opis (angielski, źródło NVD)
Argo Workflows is an open source container-native workflow engine for orchestrating parallel jobs on Kubernetes. From version 4.0.0 to before version 4.0.5, the workflow executor logs all artifact repository credentials (S3 access keys, secret keys, GCS service account keys, Azure account keys, Git passwords, etc.) in plaintext on artifact operation. Any user with read access to workflow pod logs can extract these credentials. This issue has been patched in version 4.0.5.