CVE-2026-42461
— 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
- **本质**：Arcane ≤1.17.x 后端 `/api/templates*` 的 GET 接口 🚨**无授权校验**
- **后果**：未认证用户可读**全部自定义 Compose YAML + .env** 💣
- **风险**：直接泄露**数据库密码、API 密钥**等敏感信息 🧨
Q2根本原因？（CWE/缺陷点）
- **缺陷点**：后端 GET 方法未配置访问控制 🛑
- **矛盾设计**：前端 `PROTECTED_PREFIXES` 已标记路径需保护 🤯
- **类似 CWE-862**：缺少授权检查 🔍
- **核心问题**：授权逻辑仅在前端实现，后端裸奔 ⚠️
Q3影响谁？（版本/组件）
- **影响版本**：Arcane **< 1.18.0** ⏳
- **影响组件**：Huma 后端的 `/api/templates*` GET 端点 📌
- **涉及功能**：`保存为模板` → 持久化 .env 内容 💾
Q4黑客能干啥？（权限/数据）
- **无需登录** 🚪
- **可列目录 & 读文件** 📂
- **拿到完整 Compose 配置** 🧾
- **提取 .env 中的密钥/密码** 🔑
- **横向渗透/接管服务风险** 🕵️♂️
Q5利用门槛高吗？（认证/配置）
- **极低门槛** 🟢
- **无认证要求** ❌
- **任意网络客户端可触发** 🌐
- **只需发 GET 请求** 📡
Q6有现成Exp吗？（PoC/在野利用）
- **暂无 PoC** 📭
- **无在野利用报告** 📉
- **但原理简单，易构造请求** ⚙️
- **风险：手快者先捡漏** 🎯
Q7怎么自查？（特征/扫描）
- **特征**：调用 `/api/templates*` GET 接口返回 YAML/.env 🔍
- **自查方式**：
- 用 curl 匿名请求 🖥️
- 看是否返回含 `environment:` 或 `KEY=VALUE` 内容 🧪
- **检查版本**：确认是否 < 1.18.0 📌
Q8官方修了吗？（补丁/缓解）
- **已修复** ✅
- **修复版本**：**1.18.0** 🛡️
- **发布链接**：[Release v1.18.0](https://github.com/getarcaneapp/arcane/releases/tag/v1.18.0)
- **安全公告**：[GHSA-cxx3-hr75-4q96](https://github.com/getarcaneapp/arcane/security/advisories/G…
Q9没补丁咋办？（临时规避）
- **立即升级**到 ≥1.18.0 🚀（首选）
- **临时规避**：
- 限制 `/api/templates*` 的网络访问 🚧
- 加反向代理鉴权层 🔐
- 删除已存含敏感信息的模板 🗑️
- **监控异常读取行为** 👁️
Q10急不急？（优先级建议）
- **极高危** 🚨
- **优先级 MAX** 🔥
- **原因**：零门槛拿密钥 💣
- **建议**：立刻查版本 → 升补丁 → 清敏感模板 ⏱️