CVE-2026-96627 Toma de control de administrador en Arcane mediante users:update delegado y restablecimiento de contraseña
En Arcane anterior a 2.6.0, UpdateUser establece PasswordHash para cualquier objetivo sin comparar los privilegios del solicitante y del objetivo. Quien tenga el permiso delegado users:update puede enviar un cambio de contraseña para el administrador global, reemplazar su contraseña y autenticarse como esa cuenta, logrando la toma de control total del administrador global. Corrige la versión 2.6.0.
CVSS 3.1
- Probabilidad de explotación0,3 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
getarcaneapp arcane
< 2.6.0
Qué hacer
- Verificá si usás arcane y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.8 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
Arcane is an interface for managing Docker containers, images, networks, and volumes. Prior to 2.6.0, UpdateUser in backend/api/handlers/users.go sets PasswordHash for any target without comparing caller and target privilege. A holder of delegated users:update permission can submit a password change for the global administrator, replace the administrator password, and authenticate as that account, resulting in complete global administrator account takeover. This issue is fixed in version 2.6.0.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.