{"id":10773,"date":"2025-05-29T15:03:34","date_gmt":"2025-05-29T21:03:34","guid":{"rendered":"https:\/\/beaconlab.us\/?post_type=publicacion&#038;p=10773"},"modified":"2025-05-29T15:03:35","modified_gmt":"2025-05-29T21:03:35","slug":"alerta-2025-49-vulnerabilidad-critica-de-xss-en-argo-cd","status":"publish","type":"publicacion","link":"https:\/\/beaconlab.us\/es\/publicacion\/alerta-2025-49-vulnerabilidad-critica-de-xss-en-argo-cd\/","title":{"rendered":"Alerta 2025-49 Vulnerabilidad cr\u00edtica de XSS en Argo CD"},"content":{"rendered":"\n<h2 class=\"wp-block-heading\">Producto(s) afectado(s):&nbsp;<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Argo CD versiones anteriores a 3.0.4.<\/li>\n\n\n\n<li>Versiones 2.14.0-rc1 a menores que 2.14.13.<\/li>\n\n\n\n<li>Versiones 2.0.0-rc3 a menores que 2.13.8.<\/li>\n\n\n\n<li>Versiones 1.2.0-rc1 a 1.8.7<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Descripci\u00f3n<\/h2>\n\n\n\n<p>Se ha reportado identific\u00f3 la <strong>vulnerabilidad cr\u00edtica<\/strong> <strong>CVE-2025-47933<\/strong>, con <strong>CVSS de 9.1<\/strong>, que afecta a <strong>Argo CD<\/strong>, una herramienta de entrega continua para Kubernetes, y consiste en una falla de impropera sanitizaci\u00f3n de URLs en la p\u00e1gina de repositorios, que permite ataques de <strong>Cross-Site Scripting (XSS).<\/strong><\/p>\n\n\n\n<p>El ataque XSS se lleva acabo mediante la inyecci\u00f3n de URLs con protocolo&nbsp;javascript. Esto ocurre porque el c\u00f3digo frontend no valida correctamente el protocolo de las URLs de repositorios antes de usarlas en atributos&nbsp;href, lo que puede ser explotado por un atacante con permisos para editar repositorios para inyectar c\u00f3digo JavaScript malicioso. Cuando otro usuario autenticado visualiza estas URLs, el c\u00f3digo malicioso se ejecuta en su navegador, permitiendo acciones arbitrarias en nombre de la v\u00edctima, incluyendo la creaci\u00f3n, modificaci\u00f3n y eliminaci\u00f3n de recursos de Kubernetes a trav\u00e9s de la API.<\/p>\n\n\n\n<p>La vulnerabilidad CVE-2025-47933 compromete la seguridad operativa de entornos que utilizan Argo CD, al permitir que actores malintencionados con acceso limitado puedan escalar su influencia mediante la inyecci\u00f3n de c\u00f3digo malicioso en la interfaz de usuario. Esto puede resultar en la alteraci\u00f3n de configuraciones cr\u00edticas, la exposici\u00f3n de informaci\u00f3n sensible y la potencial interrupci\u00f3n de servicios gestionados en Kubernetes. La explotaci\u00f3n efectiva de esta falla puede socavar la confianza en la plataforma y generar consecuencias graves para la continuidad y seguridad de las aplicaciones desplegadas.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Soluci\u00f3n:<\/h2>\n\n\n\n<p>Para solucionar esta vulnerabilidad es necesario actualizar Argo CD a las versiones parcheadas que corrigen la falla de validaci\u00f3n en la sanitizaci\u00f3n de URLs en la p\u00e1gina siguiente <a href=\"https:\/\/github.com\/advisories\/GHSA-2hj5-g64g-fp6p\">https:\/\/github.com\/advisories\/GHSA-2hj5-g64g-fp6p<\/a>.<\/p>\n\n\n\n<p>Las versiones que incluyen el parche son la 3.0.4, 2.14.13 y 2.13.8, dependiendo de la rama que se est\u00e9 utilizando. El parche introduce una validaci\u00f3n estricta de los protocolos permitidos en las URLs, devolviendo&nbsp;null&nbsp;cuando la URL no cumple con los criterios, lo que impide la inyecci\u00f3n de enlaces con el esquema&nbsp;javascript:&nbsp;y evita la ejecuci\u00f3n de c\u00f3digo malicioso en el navegador.<\/p>\n\n\n\n<p><strong>Medidas adicionales recomendadas incluyen:<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Se aconseja limitar los privilegios de los usuarios para que solo personal de confianza tenga permiso para editar configuraciones de repositorios, ya que la explotaci\u00f3n requiere acceso para modificar estas URLs.<\/li>\n\n\n\n<li>Implementar pol\u00edticas de seguridad como Content Security Policy (CSP) para restringir la ejecuci\u00f3n de scripts en el navegador.<\/li>\n<\/ul>\n\n\n\n<p>Monitorear continuamente la actividad y los cambios en las URLs de repositorios para detectar comportamientos sospechosos.<\/p>\n\n\n\n<p><a href=\"https:\/\/securityonline.info\/argo-cd-alert-xss-flaw-cvss-9-1-allows-kubernetes-hijacking\/\" target=\"_blank\" rel=\"noreferrer noopener\">Argo CD Alert: XSS Flaw (CVSS 9.1) Allows Kubernetes Hijacking<\/a>&nbsp;<\/p>\n\n\n\n<p><a href=\"https:\/\/cybersecuritynews.com\/argo-cd-vulnerability\/#google_vignette\" target=\"_blank\" rel=\"noreferrer noopener\">Argo CD Vulnerability Let Attackers Create, Modify, &amp; Deleting Kubernetes Resources<\/a>&nbsp;<\/p>\n\n\n\n<p><a href=\"https:\/\/access.redhat.com\/security\/cve\/cve-2025-47933\" target=\"_blank\" rel=\"noreferrer noopener\">CVE-2025-47933 &#8211; Red Hat Customer Portal<\/a><\/p>\n\n\n\n<p><\/p>\n","protected":false},"featured_media":10774,"template":"","class_list":["post-10773","publicacion","type-publicacion","status-publish","has-post-thumbnail","hentry"],"acf":{"activar_pdf_link":false,"pdf":null,"numero_de_boletin":"49","traffic_light_protocol":"White"},"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/publicacion\/10773","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/publicacion"}],"about":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/types\/publicacion"}],"version-history":[{"count":1,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/publicacion\/10773\/revisions"}],"predecessor-version":[{"id":10776,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/publicacion\/10773\/revisions\/10776"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/media\/10774"}],"wp:attachment":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/media?parent=10773"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}