CVE-2026-96628

اسم البرنامج المصاب والإصدارات المتأثرة Arcane الإصدارات السابقة لـ 2.11.0

Description يوجد تضارب في الصلاحيات في الدالة AuthMiddleware.managerAuth. عندما يستخدم الطلب رمز وصول صالح للبيئة عبر رأس X-Arcane-Agent-Token ، يقوم النظام بتثبيت مجموعة أذونات محدودة بالنطاق ويستمر في المعالجة قبل تقييم خيار AdminRequired. يسمح هذا للمستخدم الذي يمتلك رمز وصول محدود النطاق بتجاوز فحص المسؤول العام والوصول إلى المسارات المقيدة.

تحديداً، يسمح هذا بالوصول غير المصرح به إلى واجهة تشخيص Go pprof عبر المسار /api/debug/pprof/*. يؤدي هذا التعرض إلى كشف معلومات التشخيص ووقت التشغيل الداخلية، بما في ذلك تتبع مكدس goroutine، وتوصيف الذاكرة (heap profiling)، وتوصيف وحدة المعالجة المركزية (CPU profiling)، وقد يتسبب في زيادة العبء على أداء النظام.

Recommendations تحديث Arcane إلى الإصدار 2.11.0. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى المسار /api/debug/pprof/* لضمان وصول المسؤولين العامين الموثوقين فقط إليه.