CVE-2026-86114
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Arcane przed wersją 2.0.0 nie ogranicza prawidłowo operacji na szablonach, co pozwala kontom z domyślną rolą użytkownika tworzyć, modyfikować i usuwać szablony kompozycji, w tym domyślne dla całej instancji. Atakujący mogą wstrzykiwać złośliwe konfiguracje kontenerów z uprzywilejowanymi ustawieniami lub montowaniem ścieżek hosta, które wykonują się z uprawnieniami administracyjnymi, gdy zostaną wdrożone przez administratorów.
Ocena ryzyka
Ryzyko obejmuje eskalację uprawnień i możliwość uruchomienia złośliwych kontenerów z pełnymi uprawnieniami, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaktualizuj Arcane do wersji 2.0.0 lub nowszej, która wprowadza odpowiednie ograniczenia. Dodatkowo przeglądaj szablony pod kątem złośliwych konfiguracji.
Inne podatności w Arcane
Zobacz wszystkie- CVE-2026-45625Krytyczne
Arcane do wersji 1.19.0 zawiera podatność polegającą na braku weryfikacji roli administratora w ośmiu endpointach API REST związanych z repozytoriami Git. Umożliwia to każdemu zalogowanemu użytkownikowi z domyślną rolą użytkownika na zarządzanie konfiguracją repozytoriów Git oraz kradzież przechowywanych poświadczeń (tokenów PAT, kluczy SSH) poprzez przekierowanie repozytorium na kontrolowany przez atakującego serwer.
- CVE-2026-47125Wysokie
Arcane, interfejs do zarządzania kontenerami Docker, przed wersją 1.19.2 zawiera podatność polegającą na braku autoryzacji administratora w punkcie końcowym PUT /api/environments/{id}/templates/variables. Każdy uwierzytelniony użytkownik niebędący administratorem może nadpisać globalne zmienne środowiskowe używane we wszystkich projektach.
- CVE-2026-45626Średnie
W Arcane 1.18.1 i wcześniejszych punkt końcowy GET /environments/{id}/volumes/{volumeName}/browse akceptuje parametr ścieżki, który jest przekazywany do polecenia powłoki (sh -c "find … | while …") wewnątrz kontenera pomocniczego Arcane. Sanitizer ścieżki blokuje ../, ale nie usuwa metaznaków powłoki Bourne, takich jak $() czy backticks, a strconv.Quote ucieka tylko metaznaki Go, a nie sekwencje podstawiania powłoki. Każdy uwierzytelniony użytkownik z dostępem do woluminu może wykonać dowolne polecenia wewnątrz kontenera pomocniczego; wynik polecenia jest odzwierciedlany w treści błędu 500.
- CVE-2026-42461Wysokie
W Arcane przed wersją 1.18.0 cztery endpointy GET pod /api/templates* nie wymagają uwierzytelnienia, umożliwiając nieuwierzytelnionym klientom odczyt pełnej treści Compose YAML i .env każdego szablonu, w tym poufnych danych jak hasła do baz danych czy klucze API.
Oryginalny opis (angielski, źródło NVD)
Arcane versions before 2.0.0 fail to properly restrict template operations, allowing default user role accounts to create, modify, and delete compose templates including instance-wide defaults. Attackers can inject malicious container configurations with privileged settings or host path mounts that execute with administrative privileges when deployed by administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS