CVE-2026-45627

Arcane Docker konteynerlərini, imiclərini, şəbəkələrini və həcmlərini idarə etmək üçün interfeysdir. 1.19.0 versiyasından əvvəl, autentifikasiya olunmamış GET /api/app-images/logo son nöqtəsi (endpoint), istifadəçi tərəfindən təmin edilən color sorğu parametrini heç bir filtirləmə olmadan strings.ReplaceAll vasitəsilə SVG sənədinin gövdəsinə əks etdirir. Əvəzləmə daxil edilmiş logo.svg faylının <style> elementi daxilində baş verir ki, bu da hücumçuya stil blokunu bağlamağa və icra oluna bilən <script> məzmunu yerləşdirməyə imkan verir. Cavab image/svg+xml kimi təqdim edildiyi və Arcane tərəfindən heç bir Content-Security-Policy və ya X-Content-Type-Options başlıqları təyin edilmədiyi üçün, sistemə daxil olmuş administratoru xüsusi hazırlanmış URL-ə yönləndirmək, hücumçu tərəfindən idarə olunan JavaScript kodunun Arcane mənşəyində icrasına səbəb olur və qurbanın HttpOnly JWT kukisindən istifadə edərək administrator hesabını tamamilə ələ keçirməyə imkan verir. Bu zəiflik 1.19.0 versiyasında aradan qaldırılıb.