🇰🇷 한글 설명
argocd-mcp 0.9.0 이하 버전의 delete_application 도구에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 검증되지 않은 applicationName 값에 ../와 같은 경로 조작 문자를 삽입하면, 권한 내의 저장소, 클러스터 또는 프로젝트를 삭제하는 API 엔드포인트에 접근할 수 있습니다.
💡 쉬운 설명
프로그램이 입력받은 이름을 제대로 확인하지 않아 발생하는 보안 구멍입니다. 나쁜 의도를 가진 사용자가 이름 대신 특수 기호를 섞어 보내면, 삭제하면 안 되는 중요한 데이터까지 지워버릴 수 있습니다.
🇺🇸 원문 (English)
argocd-mcp (Argo CD MCP Server) through 0.9.0 contains a path traversal vulnerability in the delete_application tool that allows MCP clients to reach unintended API endpoints via unvalidated applicationName values. Attackers or prompt-injected models can supply dot-segment values like ../repositories/ to send authenticated DELETE requests deleting repositories, clusters, or projects within the token's RBAC permissions.
📍 영향받는 시스템
argocd-mcp (Argo CD MCP Server) 0.9.0 이하 버전
⚔️ 공격 벡터
delete_application 도구의 applicationName 매개변수에 ../와 같은 경로 조작 문자열을 주입하여 의도하지 않은 API 호출
🛡️ 대응 방법
argocd-mcp를 최신 보안 패치가 적용된 버전으로 업데이트하고, 입력값에 대한 경로 검증 로직을 강화하십시오.
🔧 검증 코드
출력된 버전이 0.9.0 이하인지 확인하여 취약 여부를 판단합니다.
argocd-mcp --version 2>/dev/null || echo 'Version not found'