PT-2026-3097
CVE-2026-23520
·
تاريخ النشر
2026-01-15
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
9.0
حرجةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Arcane الأقدم من 1.13.0
الوصف
تسمح خدمة التحديث في Arcane بتحديد أوامر للتنفيذ قبل أو بعد تحديثات الحاويات باستخدام علامات دورة الحياة
com.getarcaneapp.arcane.lifecycle.pre-update وcom.getarcaneapp.arcane.lifecycle.post-update. يتم تمرير قيمة هذه العلامات مباشرةً إلى /bin/sh -c دون التحقق من صحتها بشكل كافٍ، مما يؤدي إلى ثغرة أمنية تتمثل في حقن الأوامر. يمكن لأي مستخدم مسجّل الدخول إنشاء مشاريع عبر واجهة برمجة التطبيقات (API) وتحديد أوامر ضارة ضمن علامات دورة الحياة هذه. وعندما يقوم أحد المسؤولين بتشغيل عملية تحديث للحاوية، يقوم Arcane بتنفيذ الأمر داخل الحاوية. إذا كانت الحاوية تحتوي على وحدات تخزين مركبة من المضيف، فيمكن للأمر المنفذ الوصول إلى نظام ملفات المضيف، مما قد يؤدي إلى سرقة البيانات أو اختراق المضيف بالكامل في حالة تركيب مسارات حساسة مثل /var/run/docker.sock. تسمح هذه الثغرة بتنفيذ التعليمات البرمجية عن بُعد (RCE) في سياق الحاوية.التوصيات
يجب تحديث الإصدارات الأقدم من 1.13.0 إلى الإصدار 1.13.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾