PT-2026-42873 · Arcane · Arcane
Offset
·
Publicado
2026-05-23
·
Atualizado
2026-05-31
·
CVE-2026-47125
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Arcane versões anteriores a 1.19.2
Descrição
O endpoint "PUT /api/environments/{id}/templates/variables", utilizado para gravar o arquivo
.env.global de todo o sistema para substituição de variáveis em arquivos compose de projetos, carece de uma verificação de autorização de administrador. Qualquer usuário autenticado que não seja administrador pode usar seu token bearer ou chave de API para sobrescrever variáveis de ambiente globais mescladas em cada implantação de projeto. Ao manipular variáveis como REGISTRY, IMAGE, DATABASE URL ou SECRET KEY, um invasor pode redirecionar a extração de imagens para registros maliciosos, levando à execução remota de código (RCE) de cadeia de suprimentos no host Docker, exfiltrar credenciais de banco de dados ou interromper todos os projetos. Além disso, a função UpdateGlobalVariables() não sanitiza adequadamente quebras de linha em chaves, permitindo a injeção arbitrária de chaves no arquivo .env.global.Recomendações
Atualize para a versão 1.19.2.
Como medida paliativa temporária, restrinja o acesso ao endpoint "PUT /api/environments/{id}/templates/variables" apenas a administradores autorizados.
Correção
RCE
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Arcane