JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024634 Argo CDは、Kubernetes向けの宣言型GitOps継続的デリバリーツールです。バージョン3.2.12、3.3.10、および3.4.2より前のバージョンでは、アプリケーション書き込み権限を持つArgo CDユーザーがpipe区切りの値を持つlink.argocd.argoproj.io/*アノテーションを設定でき、その値がui/src/app/applications/components/application-summary/application-summary.tsxのSummaryタブ内のURLsセクションでアンカーのhref値としてURL検証なしにレンダリングされます。これにより、権限の高いユーザーの認証されたArgo CDオリジンセッション上でjavascript:を実行できる脆弱性があります。この問題はバージョン3.2.12、3.3.10、および3.4.2で修正されています。 cpe:/a:argoproj:argo_cd https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024634.html Common Vulnerabilities and Exposures (CVE) CVE-2026-45738 https://www.cve.org/CVERecord?id=CVE-2026-45738 National Vulnerability Database (NVD) CVE-2026-45738 https://nvd.nist.gov/vuln/detail/CVE-2026-45738 GitHub Stored XSS in application link annotations enables developer-to-admin privilege escalation Advisory argoproj/argo-cd GitHub https://github.com/argoproj/argo-cd/security/advisories/GHSA-h98r-wv3h-fr38 JVNDB CWE-79 https://jvndb.jvn.jp/ja/cwe/CWE-79.html 関連文書 Merge commit from fork argoproj/argo-cd@35ea43c GitHub https://github.com/argoproj/argo-cd/commit/35ea43c537d6e8948e67f347317fc4f88b325122 関連文書 Release v3.3.10 argoproj/argo-cd GitHub https://github.com/argoproj/argo-cd/releases/tag/v3.3.10 関連文書 Release v3.2.12 argoproj/argo-cd GitHub https://github.com/argoproj/argo-cd/releases/tag/v3.2.12 関連文書 Merge commit from fork argoproj/argo-cd@c8df5ff GitHub https://github.com/argoproj/argo-cd/commit/c8df5ff7acc403adcee1256da5d87081cd52f0a6 関連文書 Release v3.4.2 argoproj/argo-cd GitHub https://github.com/argoproj/argo-cd/releases/tag/v3.4.2 関連文書 Merge commit from fork argoproj/argo-cd@00f83c4 GitHub https://github.com/argoproj/argo-cd/commit/00f83c41dcfd879f34f8e0248c860d704b41cf0f 2026-07-22T10:19:48+09:00 2026-07-22T10:19:48+09:00