CVE-2026-42294
Che cos'è CVE-2026-42294?
Argo Workflows è un motore di flusso di lavoro nativo del contenitore open source per orchestrare lavori paralleli su Kubernetes. Prima delle versioni 3.7.14 e 4.0.5, Webhook Interceptor carica l'intero corpo della richiesta in memoria prima di autenticare la richiesta o verificarne la firma. Ciò si verifica sull'endpoint /api/v1/events/, che è accessibile pubblicamente (anche se destinato ai webhook). Un utente malintenzionato può inviare una richiesta con un corpo estremamente grande (ad esempio, più gigabyte), causando l'allocazione di memoria eccessiva da parte di Argo Server, portando potenzialmente a un arresto anomalo della memoria esaurita (OOM) e alla negazione del servizio.
FAQ
CVE-2026-42294 ha un punteggio CVSS di N/D/10, classificato come Sconosciuto. Consultare l'elenco dei prodotti interessati e applicare le patch del fornitore.
Il CVSS (Common Vulnerability Scoring System) valuta la gravità delle vulnerabilità da 0,0 a 10,0. CVE-2026-42294 ottiene N/D/10 (Sconosciuto). Punteggi da 9,0–10,0 sono Critici, 7,0–8,9 Alti, 4,0–6,9 Medi e sotto 4,0 Bassi.
L'elenco dei dispositivi confermati come interessati da CVE-2026-42294 è mostrato nella sezione "Dispositivi interessati" sopra. Confronta la versione del tuo firmware con l'avviso di sicurezza del fornitore e applica l'ultima patch.
Applica l'ultimo aggiornamento firmware o software del fornitore. Controlla la sezione Riferimenti sopra per avvisi ufficiali e note di patch. Se non è disponibile alcuna patch, considera di disabilitare la funzione interessata o isolare il dispositivo da reti non attendibili.