CVE-2026-45626
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W Arcane 1.18.1 i wcześniejszych punkt końcowy GET /environments/{id}/volumes/{volumeName}/browse akceptuje parametr ścieżki, który jest przekazywany do polecenia powłoki (sh -c "find … | while …") wewnątrz kontenera pomocniczego Arcane. Sanitizer ścieżki blokuje ../, ale nie usuwa metaznaków powłoki Bourne, takich jak $() czy backticks, a strconv.Quote ucieka tylko metaznaki Go, a nie sekwencje podstawiania powłoki. Każdy uwierzytelniony użytkownik z dostępem do woluminu może wykonać dowolne polecenia wewnątrz kontenera pomocniczego; wynik polecenia jest odzwierciedlany w treści błędu 500.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia w kontenerze pomocniczym, co może prowadzić do eskalacji uprawnień, wycieku danych lub dalszego ataku na infrastrukturę Docker.
Rekomendacja
Należy zaktualizować Arcane do wersji, która zawiera poprawkę usuwającą metaznaki powłoki z parametru ścieżki lub użyć bezpieczniejszego mechanizmu przetwarzania ścieżek.
Inne podatności w Arcane
Zobacz wszystkie- CVE-2026-45625Krytyczne
Arcane do wersji 1.19.0 zawiera podatność polegającą na braku weryfikacji roli administratora w ośmiu endpointach API REST związanych z repozytoriami Git. Umożliwia to każdemu zalogowanemu użytkownikowi z domyślną rolą użytkownika na zarządzanie konfiguracją repozytoriów Git oraz kradzież przechowywanych poświadczeń (tokenów PAT, kluczy SSH) poprzez przekierowanie repozytorium na kontrolowany przez atakującego serwer.
- CVE-2026-47125Wysokie
Arcane, interfejs do zarządzania kontenerami Docker, przed wersją 1.19.2 zawiera podatność polegającą na braku autoryzacji administratora w punkcie końcowym PUT /api/environments/{id}/templates/variables. Każdy uwierzytelniony użytkownik niebędący administratorem może nadpisać globalne zmienne środowiskowe używane we wszystkich projektach.
- CVE-2026-42461Wysokie
W Arcane przed wersją 1.18.0 cztery endpointy GET pod /api/templates* nie wymagają uwierzytelnienia, umożliwiając nieuwierzytelnionym klientom odczyt pełnej treści Compose YAML i .env każdego szablonu, w tym poufnych danych jak hasła do baz danych czy klucze API.
Oryginalny opis (angielski, źródło NVD)
Arcane is an interface for managing Docker containers, images, networks, and volumes. In 1.18.1 and earlier, GET /environments/{id}/volumes/{volumeName}/browse accepts a path query parameter that is passed to a shell command (sh -c "find … | while …") inside an Arcane helper container. The path sanitiser blocks ../ traversal but does not strip Bourne-shell metacharacters such as $() or backticks, and strconv.Quote only escapes Go string metacharacters, not shell substitution sequences. Any authenticated user with access to a browseable volume can execute arbitrary commands inside the helper container; command output is reflected back in the 500 error body.