Argo CD et CVE-2025-55190 : quand un token de projet peut exposer des credentials

Une faille GitOps tres parlante

L advisory officiel Argo CD GHSA-786q-9hcg-v9ff, egalement reference comme CVE-2025-55190 dans la GitHub Advisory Database, explique que des tokens API avec permissions de projet pouvaient recuperer des credentials de repositories via l endpoint de details de projet.

Pourquoi c est critique

Argo CD se situe au croisement du deploiement, de la configuration et de l acces aux depots. Si un token a priori limite peut exfiltrer usernames et passwords de depots, l impact depasse tres vite le seul projet GitOps touche.

Ce que cela dit du risque GitOps

Les modeles de permissions granulaires donnent souvent un faux sentiment de securite. Une permission project get ou application management peut paraitre modeste, mais si elle ouvre indirectement l acces a des secrets, toute la separation de privilege s effondre.

Notre lecture

CVE-2025-55190 est un cas excellent pour comprendre les risques des outils GitOps modernes. Le danger ne vient pas seulement du cluster ou du repo. Il vient de la plate-forme qui relie les deux et qui manipule des credentiels en continu. Quand les controles d acces y sont imparfaits, toute la chaine de deploiement est exposee.