CVE-2025-55190
— 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Argo CD 项目级权限 API 令牌可非法检索敏感仓库凭据。
💥 **后果**：用户名、密码等核心凭证泄露，导致 CI/CD 链路被控。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-200（信息泄露）。
🐛 **缺陷**：权限校验逻辑缺陷，项目级令牌越权访问了本不该接触的 Secrets 数据。
Q3影响谁？（版本/组件）
📦 **组件**：Argo CD (argoproj/argo-cd)。
📅 **版本**：
- 2.13.0 - 2.13.8
- 2.14.0 - 2.14.15
- 3.0.0 - 3.0.12
- 3.1.0-rc1 - 3.1.1
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：获取仓库的 **Username** 和 **Password**。
🔓 **权限**：仅需拥有 **Project Get** 权限的令牌即可，无需 Secrets 显式访问权。
Q5利用门槛高吗？（认证/配置）
⚠️ **门槛**：中等。
🔑 **认证**：需要有效的 Argo CD 账号密码（用于获取令牌）。
🛠️ **配置**：需存在项目级权限配置。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC**：有！ProjectDiscovery Nuclei 模板已发布。
🌍 **在野**：数据未提及，但 PoC 公开意味着自动化扫描将激增。
Q7怎么自查？（特征/扫描）
🔎 **自查**：使用 Nuclei 模板 `CVE-2025-55190.yaml` 扫描。
📝 **条件**：需注入有效的 ArgoCD 凭据进行测试。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：已修复。
🔗 **参考**：GitHub Commit `e8f8610` 及安全公告 `GHSA-786q-9hcg-v9ff`。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. 立即升级至受影响版本之外的最新稳定版。
2. 审查项目级权限，最小化 **Project Get** 权限范围。
3. 轮换已泄露风险的仓库凭据。
Q10急不急？（优先级建议）
🔥 **优先级**：高。
📉 **CVSS**：H (Critical/High 混合)。
💡 **建议**：涉及核心凭证泄露，建议 **立即** 评估并升级，防止供应链攻击。