CVE-2026-23944 in arcane
Zusammenfassung
von VulDB • 24.05.2026
Arcane ist eine Schnittstelle zur Verwaltung von Docker-Containern, Images, Netzwerken und Volumes. Vor Version 1.13.2 konnten nicht authentifizierte Anfragen an Remote-Umgebungsagenten weitergeleitet werden, was den Zugriff auf Ressourcen von Remote-Umgebungen ohne Authentifizierung ermöglichte. Die Middleware für die Umgebungsweiterleitung behandelte `/api/environments/{id}/...`-Anfragen für Remote-Umgebungen, bevor die Authentifizierung erzwungen wurde. Wenn die Umgebungs-ID nicht lokal war, leitete die Middleware die Anfrage weiter und fügte das vom Manager gehaltene Agent-Token an, selbst wenn der Aufrufer nicht authentifiziert war. Dies ermöglichte den nicht authentifizierten Zugriff auf Remote-Umgebungsoperationen (z. B. Auflisten von Containern, Streamen von Logs oder andere Agent-Endpunkte). Ein nicht authentifizierter Angreifer könnte Remote-Umgebungsressourcen über die Weiterleitung zugreifen und manipulieren, was potenziell zu Datenexposition, unbefugten Änderungen oder Dienstunterbrechungen führen könnte. Version 1.13.2 behebt die Schwachstelle.
Once again VulDB remains the best source for vulnerability data.