CVE-2026-23520

सारांश

Arcane आधुनिक डॉकर प्रबंधन प्रदान करता है। 1.13.0 से पहले, Arcane के अपडेटर सेवा में कमांड इंजेक्शन भेद्यता है। Arcane की अपडेटर सेवा लाइफसाइकिल लेबल com.getarcaneapp.arcane.lifecycle.pre-update और com.getarcaneapp.arcane.lifecycle.post-update का समर्थन करती थी, जो कंटेनर अपडेट से पहले या बाद में चलाने के लिए एक कमांड परिभाषित करने की अनुमति देती थी। लेबल मान बिना किसी सैनिटाइज़ेशन या सत्यापन के सीधे /bin/sh -c को पास किया जाता है। चूँकि कोई भी प्रमाणित उपयोगकर्ता (केवल व्यवस्थापकों तक सीमित नहीं) API के माध्यम से प्रोजेक्ट बना सकता है, एक हमलावर एक ऐसा प्रोजेक्ट बना सकता है जो इनमें से किसी एक लाइफसाइकिल लेबल को एक दुर्भावनापूर्ण कमांड के साथ निर्दिष्ट करता है। जब कोई व्यवस्थापक बाद में कंटेनर अपडेट ट्रिगर करता है (या तो मैन्युअल रूप से या अनुसूचित अपडेट जाँच के माध्यम से), Arcane लाइफसाइकिल लेबल पढ़ता है और उसके मान को कंटेनर के अंदर एक शेल कमांड के रूप में निष्पादित करता है। यह भेद्यता 1.13.0 में ठीक कर दी गई है।

• POC-CVE-2026-23520एक्सप्लॉइट

  CVE-2026-23520 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो Arcane Docker प्रबंधन में लाइफसाइकिल लेबल के माध्यम से OS कमांड इंजेक्शन के जरिए एक प्रमाणित RCE है। इसमें check, exploit और generate मोड शामिल हैं।

• CVE-2026-23520PoC

  CVE-2026-23520 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो Arcane की अपडेटर सेवा में एक कमांड इंजेक्शन भेद्यता है, जो क्राफ्टेड API अनुरोधों के माध्यम से रिमोट कोड निष्पादन को सक्षम बनाता है।