Veille sécuritéBackend & données
P4Moyenne
Dans Arcane 2.10.2, un jeton d’accès d’environnement valide peut contourner le contrôle réservé aux administrateurs sur les routes `/api/debug/pprof/*`. Les versions antérieures à 2.11.0 sont concernées; la mise à jour vers 2.11.0 corrige le problème.
Go
IdentifiantCVE-2026-96628
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.11.0
Analyse technique
La branche d’authentification par `X-Arcane-Agent-Token` poursuit le traitement avant que le middleware n’applique l’option `AdminRequired`. L’accès concerné expose l’interface de diagnostic et de profilage Go destinée aux administrateurs globaux.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-16T21:12:03Z, dans la période demandée; événement retenu : publication d’un avis de sécurité.
ImpactUn détenteur de jeton d’accès d’environnement peut consulter les informations de diagnostic et de profilage pprof réservées aux administrateurs globaux.
Versions affectées< 2.11.0
Version corrigée2.11.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
Publication2026-10-16T21:12:03Z
Mise à jour2026-10-16T21:12:05Z
Action recommandée
Mettre à jour Arcane vers 2.11.0 ou une version ultérieure; limiter et protéger les jetons d’accès d’environnement jusqu’à la mise à jour.
Sources
Priorisation DFS : P4 · 1 source(s).