CVE-2026-96628

Nome do Software Vulnerável e Versões Afetadas Arcane versões anteriores a 2.11.0

Description Existe uma inconsistência de autorização na função AuthMiddleware.managerAuth. Quando uma requisição utiliza um token de acesso de ambiente válido através do cabeçalho X-Arcane-Agent-Token, o sistema instala um conjunto de permissões com escopo de ambiente e continua o processamento antes de avaliar a opção AdminRequired. Isso permite que um usuário com um token de escopo de ambiente ignore a verificação de administrador global e acesse rotas restritas.

Especificamente, isso permite o acesso não autorizado à interface de diagnóstico Go pprof no endpoint /api/debug/pprof/*. Essa exposição fornece acesso a informações de diagnóstico e tempo de execução internas, incluindo rastreamentos de pilha de goroutines, perfilamento de heap e perfilamento de CPU, podendo impor sobrecarga de processamento ao sistema.

Recommendations Atualize o Arcane para a versão 2.11.0. Como mitigação temporária, restrinja o acesso ao endpoint /api/debug/pprof/* para garantir que apenas administradores globais confiáveis possam acessá-lo.