CVE-2026-96628 in Arcane
Riassunto
di VulDB • 16/10/2026
Arcane è un'interfaccia per la gestione di container, immagini, reti e volumi Docker. Prima della versione 2.11.0, AuthMiddleware.managerAuth accetta le credenziali X-Arcane-Agent-Token e il ramo environment-token chiama next prima che l'opzione AdminRequired venga valutata. Un attaccante in possesso di un valido X-Arcane-Agent-Token può richiedere /api/debug/pprof/* attraverso una rotta protetta da WithAdminRequired, poiché EnvironmentPermissionSet è installato e la richiesta prosegue senza verificare IsGlobalAdmin. Ciò espone le informazioni diagnostiche e il runtime Go pprof, normalmente riservati agli amministratori, e può imporre un overhead di profilazione. Questo problema è stato risolto nella versione 2.11.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.