CVE-2026-42461

Arcane; Docker konteynerlerini, imajlarını, ağlarını ve birimlerini yönetmek için kullanılan bir arayüzdür. Versiyon 1.18.0 öncesinde, Arcane'in Huma backend kısmındaki /api/templates* altındaki dört GET uç noktası herhangi bir güvenlik gereksinimi olmadan kaydedilmiştir; bu durum, kimliği doğrulanmamış herhangi bir ağ istemcisinin örnekte saklanan her özel şablonun tam Compose YAML ve .env içeriğini listelemesine ve okumasına olanak tanır. Arcane'in kullanıcı arayüzü, proje / swarm-stack oluşturma sayfalarında operatörün gerçek env içeriğini (veritabanı parolaları, API anahtarları vb.) olduğu gibi kalıcı hale getiren bir "Şablon olarak kaydet" akışı sunduğundan, bu eksik yetkilendirme pratikte teorik bir bilgi ifşası değil, operatör sırlarının kimlik doğrulaması yapılmadan okunmasıdır. Frontend tarafı /customize/templates/* yolunu açıkça kimlik doğrulamalı bir alan (frontend/src/lib/utils/redirect.util.ts dosyasındaki PROTECTED_PREFIXES) olarak değerlendirir ve aynı yollar üzerindeki her CRUD işlemi (POST/PUT/DELETE) bir Bearer/API anahtarı gerektirir; dolayısıyla bu durum amaçlı bir genel erişim değil, net bir backend yetkilendirme açığıdır. Bu sorun versiyon 1.18.0 ile düzeltilmiştir.