Skip to content

Some text is shown in its original language while the English translation is being prepared.

EventUpdating

Argo CD MCP 路径穿越可删仓库集群

1 reports1 reporting sourcesLatest report

Start here

AI overview

argoproj-labs 的 Argo CD MCP Server（argocd-mcp）0.9.0 及以前版本中，delete_application 工具不校验 applicationName，存在路径穿越问题。攻击者或被提示注入的模型可传入 ../repositories/ 这类路径段，借 MCP 的已认证令牌向其他 Argo CD API 发 DELETE，在令牌 RBAC 范围内删除仓库、集群或项目。NVD 已将其登记为 CVE。

Generated by AI from reports · Updated 12 hr ago

Latest update
Argo CD MCP 路径穿越：提示注入可删仓库和集群

Progress timeline

Oct 10
  1. NIST NVDSelected
    Argo CD MCP 路径穿越：提示注入可删仓库和集群

    argoproj-labs 的 Argo CD MCP Server（argocd-mcp）0.9.0 及以前版本中，delete_application 工具不校验 applicationName，存在路径穿越问题。攻击者或被提示注入的模型可传入 ../repositories/ 这类路径段，借 MCP 的已认证令牌向其他 Argo CD API 发 DELETE，在令牌 RBAC 范围内删除仓库、集群或项目。NVD 已将其登记为 CVE-2026-108585。X 用户 @soycronus 称截至 0.9.0 未修复，建议开启 MCP_READ_ONLY。

Related discussion

No discussion links have been collected for this event yet.

Attention trend

New sources per day

1 days total1 ·Maximum1（Oct 12）·Today1

  • Oct 12New1 sources (1 outlets,0 accounts)

Hourly attention

Current attention58·Peak in the comparable period60（Oct 12 08:00）·Change over the comparable past 24 hours –

020406080Oct12Oct12Oct12Oct12