Dans Arcane, un utilisateur doté de la permission déléguée `users:update` peut réinitialiser le mot de passe d’un administrateur global et prendre le contrôle de son compte. Les versions antérieures à 2.6.0 sont concernées; la correction est disponible dans Arcane 2.6.0.
Source : GHSA-pw5q-rjx4-7f7p — Arcane: Delegated users:update permission allows admin account takeover
Analyse technique
La mise à jour d’un utilisateur permet de modifier le mot de passe du compte cible sans vérifier la hiérarchie des privilèges entre l’appelant et la cible. Le scénario décrit suppose que la permission `users:update` a été déléguée à l’utilisateur.
Impact, versions et correctif
Action recommandée
Mettre à jour Arcane vers 2.6.0 ou une version ultérieure; revoir les utilisateurs et rôles auxquels la permission `users:update` a été déléguée.
Sources
Priorisation DFS : P3 · 1 source(s).