L'Argo CD MCP server — argocd-mcp, pubblicato sotto argoproj-labs — ha ricevuto CVE-2026-82456 il 29 agosto 2026 alle 15:30:21 UTC, con un punteggio di 10.0 sia su CVSS 3.1 sia su CVSS 4.0. È il massimo consentito dalla scala. Ed è anche, nella sostanza, una notizia non nuova.

La correzione precede la CVE di 18 giorni

I manutentori hanno pubblicato il proprio advisory per la stessa identica segnalazione l'11 agosto alle 15:47:14 UTC, indicandola come "No known CVE", e hanno distribuito la patch in v0.9.0 quindici minuti prima, alle 15:32:50 UTC dello stesso giorno. Loro stessi l'avevano valutata 10.0. Il record del 29 agosto è il sistema di numerazione del settore che recupera una correzione resa pubblica da oltre due settimane.

Ciò che il punteggio non dice

È qui che il numero in apertura fuorvia. La vulnerabilità — classificata CWE-1327, associata a un binding su un indirizzo non ristretto — riguarda la versione 0.8.0 quando viene eseguita con il trasporto HTTP o SSE: il listener si agganciava a tutte le interfacce e accettava sessioni MCP senza autenticazione. Ma non si tratta della modalità predefinita verso cui chiunque venga indirizzato. Gli esempi di installazione del progetto configurano stdio, che non è raggiungibile in rete. Un 10.0 descrive il caso peggiore per una configurazione che la documentazione non propone.

Il problema di progettazione sottostante è quello interessante

La release 0.9.0 fa tre cose: vincola per impostazione predefinita il listener HTTP e SSE a 127.0.0.1, aggiunge un separato MCP_AUTH_TOKEN per autenticare i chiamanti in ingresso e smette di trattare la presenza di una credenziale Argo CD come forma di controllo degli accessi. Quest'ultimo punto è la vera lezione. ARGOCD_API_TOKEN è una credenziale in uscita — autentica il server verso Argo CD. Non ha mai autenticato chi chiamava il server. La versione 0.8.0 è stata rilasciata l'11 giugno, quindi gli operatori che usavano il trasporto di rete hanno avuto una finestra di esposizione di 61 giorni.

E anche il record è di nuovo illeggibile dagli strumenti

Esattamente come per l'advisory di Skyvern pubblicato quattro minuti prima, il record dell'advisory GitHub per CVE-2026-82456 riporta un array strutturato delle vulnerabilità vuoto — nessun intervallo di package, nessuna prima versione corretta. Due segnalazioni ad alta e quasi massima severità su infrastrutture agentiche sono arrivate nello stesso pomeriggio, e nessuna delle due può essere associata automaticamente a un lockfile.