CVE-2026-96627 in Arcane
Zusammenfassung
von VulDB • 16.10.2026
Arcane ist eine Schnittstelle zur Verwaltung von Docker-Containern, -Images, -Netzwerken und -Volumes. Vor Version 2.6.0 setzt die Funktion UpdateUser in backend/api/handlers/users.go das PasswordHash für jedes Ziel, ohne die Berechtigungen des Aufrufers mit denen des Ziels zu vergleichen. Ein Inhaber der delegierten Benutzerberechtigung users:update kann eine Passwortänderung für den globalen Administrator einreichen, das Administratorkennwort ersetzen und sich als dieses Konto authentifizieren, was zur vollständigen Übernahme des globalen Administratorkontos führt. Dieses Problem wurde in Version 2.6.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.