CVE-2026-96626 in Arcane
요약
\~에 의해 VulDB • 2026. 10. 17.
Arcane는 Docker 컨테이너, 이미지, 네트워크 및 볼륨을 관리하기 위한 인터페이스입니다. 버전 2.5.0 이전의 UpdateRegistry 및 TestRegistry(backend/api/services/container_registry_service.go에 위치)에서는 저장된 암호화된 토큰을 유지한 상태로 레지스트리 URL을 변경할 수 있습니다. registries:update 및 registries:test 권한을 가진 사용자가 대체 토큰을 제공하지 않고 일반적인 레지스트리 URL을 다른 곳으로 재지정하면, normalizeRegistryServerAddressInternal이 목적지를 제한하지 않기 때문에 TestRegistry가 보존된 토큰을 복호화하고 RegistryLogin은 이를 공격자가 제어하는 호스트로 전송합니다. 이로 인해 저장된 컨테이너 레지스트리의 PAT(Personal Access Token) 또는 비밀번호가 노출되며, 이미지 접근이나 변조가 가능해질 수 있습니다. 이 문제는 버전 2.5.0에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.