CVE-2026-42461

Arcane Docker konteynerlərini, imicləri, şəbəkələri və həcmləri idarə etmək üçün interfeysdir. Versiya 1.18.0-dan əvvəl, Arcane-in Huma backend-ində /api/templates* altında yerləşən dörd GET endpointi heç bir təhlükəsizlik tələbi olmadan qeydiyyata alınıb ki, bu da hər hansı autentifikasiya olunmamış şəbəkə klientinə instansda saxlanılan hər bir xüsusi şablonun tam Compose YAML və .env məzmununu siyahılamağa və oxumağa imkan verir. Arcane-in istifadəçi interfeysi layihə / swarm-stack yaratma səhifələrində operatorun real env məzmununu (verilənlər bazasının şifrələri, API açarları və s.) olduğu kimi saxlayan "Save as Template" axınını təmin etdiyi üçün, bu avtorizasiyanın olmaması praktikada operator gizli məlumatlarının autentifikasiyasız oxunmasıdır — nəzəri məlumat sızması deyil. Frontend tərəfi /customize/templates/* hissəsini açıq şəkildə autentifikasiya olunmuş sahə (frontend/src/lib/utils/redirect.util.ts faylında PROTECTED_PREFIXES) kimi qəbul edir və eyni yollarda hər bir CRUD əməliyyatı (POST/PUT/DELETE) Bearer/API açarı tələb edir, buna görə də bu, nəzərdə tutulmuş ictimai giriş deyil, aşkar backend avtorizasiya boşluğudur. Bu problem versiya 1.18.0-da aradan qaldırılıb.