Argo CDプロジェクトは10月7日、削除用リソースフックがAppProjectの検査を飛ばす脆弱性を公開した。CVE-2026-77459、CVSS 9.9。通常の同期では宛先の名前空間とサーバー、クラスタスコープと名前空間スコープの許可と拒否、資源名まで見る。PreDeleteとPostDeleteはその検査なしに、application-controllerの資格情報で作られる。
PostDeleteはv2.10.0から、PreDeleteはv3.3.0からだ。v2.10.0以降が対象で、v2.9.22以前は対象外である。ApplicationのGitへpushできる人が、同期なら拒否される名前空間や種類のフックを入れる。コントローラはフックを見つけると削除ファイナライザを付け、Applicationを削除した時点でフックが実行される。到達範囲はコントローラの権限次第で、典型的な導入ではClusterRoleBindingのようなクラスタ資源や、プロジェクトが許さない名前空間のオブジェクトまで作れる。
修正は3.3.15、3.4.10、3.5.4、3.6.0-rc2で、同期と同じ検査をフック作成の前に掛ける。2.xと3.0から3.2はサポート外でパッチはない。フックを残したまま検査を足す設定はない。信頼できない書き込みを止め、Applicationを消せる人を絞り、コントローラの権限を狭めるのが回避策だ。PreSync、Sync、PostSync、SyncFailは従来どおり検査される。