CVE-2026-42461

Arcane do wersji 1.19.0 zawiera podatność polegającą na braku weryfikacji roli administratora w ośmiu endpointach API REST związanych z repozytoriami Git. Umożliwia to każdemu zalogowanemu użytkownikowi z domyślną rolą użytkownika na zarządzanie konfiguracją repozytoriów Git oraz kradzież przechowywanych poświadczeń (tokenów PAT, kluczy SSH) poprzez przekierowanie repozytorium na kontrolowany przez atakującego serwer.

Arcane to interfejs do zarządzania kontenerami, obrazami, sieciami i wolumenami Docker. W wersjach przed 2.11.0 AuthMiddleware.managerAuth akceptuje poświadczenia X-Arcane-Agent-Token, a gałąź tokenu środowiskowego wywołuje next przed oceną opcji AdminRequired. Atakujący z ważnym tokenem X-Arcane-Agent-Token może żądać /api/debug/pprof/* przez trasę chronioną przez WithAdminRequired, ponieważ EnvironmentPermissionSet jest zainstalowany, a żądanie jest kontynuowane bez sprawdzenia IsGlobalAdmin.

Arcane to interfejs do zarządzania kontenerami, obrazami, sieciami i wolumenami Docker. W wersjach przed 2.6.0 funkcja UpdateUser w backend/api/handlers/users.go ustawia PasswordHash dla dowolnego celu bez porównania uprawnień wywołującego i celu. Posiadacz delegowanego uprawnienia users:update może przesłać zmianę hasła dla globalnego administratora, zastąpić hasło administratora i uwierzytelnić się jako to konto, co skutkuje całkowitym przejęciem konta globalnego administratora. Problem został naprawiony w wersji 2.6.0.

W Arcane w wersjach przed 2.5.0 funkcje UpdateRegistry i TestRegistry pozwalają na zmianę adresu URL rejestru przy zachowaniu zapisanego zaszyfrowanego tokenu. Użytkownik z uprawnieniami registries:update i registries:test może przekierować adres rejestru na host kontrolowany przez atakującego, co powoduje wysłanie zachowanego tokenu lub hasła do tego hosta.

Arcane przed wersją 2.0.0 nie ogranicza prawidłowo operacji na szablonach, co pozwala kontom z domyślną rolą użytkownika tworzyć, modyfikować i usuwać szablony kompozycji, w tym domyślne dla całej instancji. Atakujący mogą wstrzykiwać złośliwe konfiguracje kontenerów z uprzywilejowanymi ustawieniami lub montowaniem ścieżek hosta, które wykonują się z uprawnieniami administracyjnymi, gdy zostaną wdrożone przez administratorów.

Arcane, interfejs do zarządzania kontenerami Docker, przed wersją 1.19.2 zawiera podatność polegającą na braku autoryzacji administratora w punkcie końcowym PUT /api/environments/{id}/templates/variables. Każdy uwierzytelniony użytkownik niebędący administratorem może nadpisać globalne zmienne środowiskowe używane we wszystkich projektach.

W Arcane 1.18.1 i wcześniejszych punkt końcowy GET /environments/{id}/volumes/{volumeName}/browse akceptuje parametr ścieżki, który jest przekazywany do polecenia powłoki (sh -c "find … | while …") wewnątrz kontenera pomocniczego Arcane. Sanitizer ścieżki blokuje ../, ale nie usuwa metaznaków powłoki Bourne, takich jak $() czy backticks, a strconv.Quote ucieka tylko metaznaki Go, a nie sekwencje podstawiania powłoki. Każdy uwierzytelniony użytkownik z dostępem do woluminu może wykonać dowolne polecenia wewnątrz kontenera pomocniczego; wynik polecenia jest odzwierciedlany w treści błędu 500.

Wtyczka Arcane dla WordPressa zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 3.6.6 włącznie.