CVE-2026-47125
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Arcane, interfejs do zarządzania kontenerami Docker, przed wersją 1.19.2 zawiera podatność polegającą na braku autoryzacji administratora w punkcie końcowym PUT /api/environments/{id}/templates/variables. Każdy uwierzytelniony użytkownik niebędący administratorem może nadpisać globalne zmienne środowiskowe używane we wszystkich projektach.
Ocena ryzyka
Atakujący może podmienić zmienne takie jak REGISTRY, IMAGE czy DATABASE_URL, co może prowadzić do przekierowania obrazów do złośliwych rejestrów (RCE w łańcuchu dostaw) lub wycieku danych uwierzytelniających.
Rekomendacja
Zaktualizuj Arcane do wersji 1.19.2 lub nowszej, która zawiera poprawkę dodającą odpowiednią kontrolę dostępu.
Inne podatności w Arcane
Zobacz wszystkie- CVE-2026-45625Krytyczne
Arcane do wersji 1.19.0 zawiera podatność polegającą na braku weryfikacji roli administratora w ośmiu endpointach API REST związanych z repozytoriami Git. Umożliwia to każdemu zalogowanemu użytkownikowi z domyślną rolą użytkownika na zarządzanie konfiguracją repozytoriów Git oraz kradzież przechowywanych poświadczeń (tokenów PAT, kluczy SSH) poprzez przekierowanie repozytorium na kontrolowany przez atakującego serwer.
- CVE-2026-45626Średnie
W Arcane 1.18.1 i wcześniejszych punkt końcowy GET /environments/{id}/volumes/{volumeName}/browse akceptuje parametr ścieżki, który jest przekazywany do polecenia powłoki (sh -c "find … | while …") wewnątrz kontenera pomocniczego Arcane. Sanitizer ścieżki blokuje ../, ale nie usuwa metaznaków powłoki Bourne, takich jak $() czy backticks, a strconv.Quote ucieka tylko metaznaki Go, a nie sekwencje podstawiania powłoki. Każdy uwierzytelniony użytkownik z dostępem do woluminu może wykonać dowolne polecenia wewnątrz kontenera pomocniczego; wynik polecenia jest odzwierciedlany w treści błędu 500.
- CVE-2026-42461Wysokie
W Arcane przed wersją 1.18.0 cztery endpointy GET pod /api/templates* nie wymagają uwierzytelnienia, umożliwiając nieuwierzytelnionym klientom odczyt pełnej treści Compose YAML i .env każdego szablonu, w tym poufnych danych jak hasła do baz danych czy klucze API.
Oryginalny opis (angielski, źródło NVD)
Arcane is an interface for managing Docker containers, images, networks, and volumes. Prior to 1.19.2, the PUT /api/environments/{id}/templates/variables endpoint, which writes the system-wide .env.global file used for variable substitution in every project's compose file, is missing an admin authorization check. Any authenticated non-admin user can call this endpoint with their bearer token or API key and overwrite the global environment variables that are merged into every project deployment. By overriding values like REGISTRY, IMAGE, DATABASE_URL, or SECRET_KEY that other users reference via ${VAR} in compose files, an attacker can redirect image pulls to attacker-controlled registries (supply-chain RCE on the Docker host), exfiltrate database credentials, or disrupt all projects. This vulnerability is fixed in 1.19.2.