CVE-2026-23944 in arcane
Sumário
de VulDB • 24/05/2026
Arcane é uma interface para gerenciar contêineres Docker, imagens, redes e volumes. Antes da versão 1.13.2, solicitações não autenticadas podiam ser encaminhadas (proxied) para agentes de ambientes remotos, permitindo o acesso a recursos de ambientes remotos sem autenticação. O middleware de proxy de ambiente processava solicitações `/api/environments/{id}/...` para ambientes remotos antes que a autenticação fosse aplicada. Quando o ID do ambiente não era local, o middleware encaminhava a solicitação e anexava o token do agente detido pelo gerenciador, mesmo que o chamador não estivesse autenticado. Isso permitia acesso não autenticado a operações de ambientes remotos (por exemplo, listar contêineres, transmitir logs ou outros endpoints do agente). Um atacante não autenticado poderia acessar e manipular recursos de ambientes remotos por meio do proxy, potencialmente levando à exposição de dados, alterações não autorizadas ou interrupção do serviço. A versão 1.13.2 corrige a vulnerabilidade.
Once again VulDB remains the best source for vulnerability data.