CVE-2026-23520
Arcane 在 Arcane Updater 生命周期标签中存在命令注入漏洞，可导致 RCE
- 已发布
- 2026年1月15日
- 已更新
- 2026年1月15日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月8日
初级CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H低 · 未来 30 天
- 百分位
- 78.2%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Arcane 提供现代化的 Docker 管理。在 1.13.0 之前，Arcane 的更新服务存在命令注入漏洞。Arcane 的更新服务支持生命周期标签 com.getarcaneapp.arcane.lifecycle.pre-update 和 com.getarcaneapp.arcane.lifecycle.post-update，允许定义在容器更新之前或之后运行的命令。标签值未经清理或验证，直接传递给 /bin/sh -c。由于任何经过身份验证的用户（不仅限于管理员）都可以通过 API 创建项目，攻击者可以创建一个项目，为其指定带有恶意命令的此类生命周期标签之一。当管理员随后触发容器更新（无论是手动还是通过计划更新检查）时，Arcane 会读取生命周期标签并将其值作为 shell 命令在容器内执行。此漏洞已在 1.13.0 中修复。
来源
3CVE-2026-23520 的概念验证漏洞利用程序，该漏洞是 Arcane Docker 管理系统中通过生命周期标签中的操作系统命令注入实现的身份验证远程代码执行（RCE）。包含检查、利用和生成三种模式。
CVE-2026-23520 的概念验证漏洞利用程序，该漏洞是 Arcane 更新服务中的命令注入漏洞，可通过精心构造的 API 请求实现远程代码执行。
🎓 针对 CVE-2026-23520 的教育性 PoC。漏洞分析与可控缓解实验室。🧪
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。