Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Backport candidate: CVE-2025-13888 fix not present on v1.13 branch

Cerrado
  • ¿Algo no está bien?
#1,139 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 2 días

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
3/5
Tiempo estimado
1-2 días
Aptitud para principiantes
52/100
Tipo de issue
Error
Claridad
Bastante claro
Estado de actividad
Tranquilo
Stack tecnológico
go
Área
release, security

Línea de trabajo

Primero verifica si la rama v1.13 todavía tiene soporte. Si es así, inspecciona controllers/argocd_metrics_controller.go en v1.13 y compáralo con el commit bc6ac3e0 de PR #897; se considera terminado cuando el arreglo namespace-isolation está presente en v1.13 o se proporciona un backport equivalente. Si la rama está EOL, documenta ese estado en su lugar.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

Hi maintainers,

While auditing supported branches for CVE backports, I noticed that the fix for CVE-2025-13888 (PR #897, commit bc6ac3e0, "fix CVE namespace-isolation break") does not appear to be present on the v1.13 branch.

What I checked

  • The v1.13 branch HEAD does not contain the new symbols introduced by the fix:
    • userDefinedMonitoringLabel constant — not present in controllers/argocd_metrics_controller.go on v1.13
    • openshift.io/user-monitoring label literal — not present
    • strings.HasPrefix(namespace.Name, "openshift-") guard — not present
  • The pre-fix code path (namespace.Labels[clusterMonitoringLabel] = "true" unconditional) is still present.
  • git compare v1.13...bc6ac3e0 reports the branch is 16 commits behind the fix commit and the fix is not in the merged set.

Why this matters

Without the openshift- prefix guard, the operator may add the cluster-monitoring label to namespaces it shouldn't, which is the namespace-isolation issue described in the advisory. If v1.13 is still a supported maintenance branch, a cherry-pick of bc6ac3e0 (or an equivalent fix) would close that gap.

If v1.13 is no longer supported / EOL, please feel free to close — happy to know either way.

Thanks for your work on this project.

— @vulgraph

Lenguaje dominante
Go
Estrellas
188
Forks
362
Merge medio
5 d 4 h
PR fusionados (30 d)
27

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de redhat-developer/gitops-operator

Todos los issues de redhat-developer/gitops-operator

Issues similares

Más issues de Go

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.