CVE-2026-96628 in Arcane
Zusammenfassung
von VulDB • 16.10.2026
Arcane ist eine Schnittstelle zur Verwaltung von Docker-Containern, -Images, -Netzwerken und -Volumes. Vor Version 2.11.0 akzeptiert AuthMiddleware.managerAuth X-Arcane-Agent-Token-Anmeldeinformationen, und der Zweig environment-token ruft next auf, bevor die Option AdminRequired ausgewertet wird. Ein Angreifer mit einem gültigen X-Arcane-Agent-Token kann /api/debug/pprof/* über eine Route anfordern, die durch WithAdminRequired geschützt ist, da EnvironmentPermissionSet installiert ist und die Anfrage fortgesetzt wird, ohne IsGlobalAdmin zu überprüfen. Dies offenbart Go-ppprof-Laufzeitinformationen und Diagnoseinformationen, die für Administratoren eingeschränkt sind, und kann einen Overhead beim Profiling verursachen. Dieses Problem wurde in Version 2.11.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.