CVE-2026-82456

KritischVeröffentlicht

argocd-mcp 0.8.0 Authentication Bypass via Unauthenticated HTTP

Veröffentlicht: 29.08.2026
Aktualisiert: 24.09.2026
CNA zuweisen: VulnCheck

Primäres CVSS

10,0/ 10Kritisch

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

EPSS-Wahrscheinlichkeitsschätzung

2,4 %

Niedrig · nächste 30 Tage

Perzentil: 83,8 %
Modelldatum: 31.10.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

argocd-mcp 0.8.0 binds its HTTP transport to every network interface and accepts MCP sessions without requiring caller credentials when ARGOCD_API_TOKEN is configured. Attackers who can reach the listener can invoke the full tool surface using the operator's stored token to create applications, request syncs, and modify Argo CD resources.

Quellen

Repository-Belege: Dateien: 1 · Repositories: 1

1 Vorlage

argocd-mcp 0.8.0 - Unauthenticated MCP Session and Tool AccessVorlage
http/cves/2026/CVE-2026-82456.yaml
Nuclei Templates
ErkennungBeweise beobachtet: 26.09.2026Revision: eddca9090fdcZugehöriges Tool
Angegebene Bedingungen
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.