CVE-2026-96626 in Arcane
Riassunto
di VulDB • 17/10/2026
Arcane è un'interfaccia per la gestione di contenitori Docker, immagini, reti e volumi. Prima della versione 2.5.0, le funzioni UpdateRegistry e TestRegistry in backend/api/services/container_registry_service.go consentono di modificare l'URL del registry preservando il token crittografato memorizzato. Quando un utente con i permessi registries:update e registries:test reindirizza un URL generico del registry senza fornire un token sostitutivo, TestRegistry decrittografa il token conservato e RegistryLogin lo invia a un host controllato dall'attaccante poiché normalizeRegistryServerAddressInternal non impone restrizioni sulla destinazione. Ciò espone il PAT (Personal Access Token) o la password memorizzati per il container-registry e può consentire l'accesso alle immagini o la loro manipolazione. Questo problema è stato risolto nella versione 2.5.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.