CVE-2026-40242

Name of the Vulnerable Software and Affected Versions Arcane versões anteriores a 1.17.3

Description Arcane é uma interface para gerenciar contêineres, imagens, redes e volumes Docker. O endpoint /api/templates/fetch aceita um parâmetro url fornecido pelo chamador e executa uma solicitação HTTP GET no lado do servidor para essa URL sem autenticação e sem validação de esquema ou host da URL. A resposta do servidor é retornada diretamente ao chamador. Isso constitui uma vulnerabilidade SSRF (Server-Side Request Forgery) não autenticada afetando qualquer instância Arcane acessível publicamente. O tratamento da resposta pode vazar informações como o primeiro byte de uma resposta não JSON, códigos de status HTTP e status da conexão TCP (conexão recusada ou tempo limite de E/S).

Recommendations Atualize para a versão 1.17.3 ou posterior.