【漏洞预警】Arcane 注册表凭据外泄、委托改密与 OIDC 账户合并（CVE-2026-96626 / 96627）

发布日期： 2026 年 10 月 17 日
风险等级： 高危（High）
漏洞编号： CVE-2026-96626 · CVE-2026-96627 · GHSA-577w-5mcf-3wc9（暂无 CVE）
涉及镜像： getarcaneapp/manager — 轩辕镜像 · Docker Hub
CVSS： 8.8（High）
披露时间： 2026 年 10 月，Arcane 安全公告
相关公告： GHSA-pw5q-rjx4-7f7p

---

一、漏洞概述

Arcane 用来管理容器和镜像仓库。官方镜像是 getarcaneapp/manager。三条都在这个镜像上，升到 v2.16.0 可以一次盖住。

持有 registries:update 和 registries:test 的用户可以改掉 registry URL，同时留下已经加密的 token。随后的连通性测试会把明文 PAT 或密码发到攻击者控制的主机（CVE-2026-96626）。单条修复线是 2.5.0。

持有被委托的 users:update 的低权限用户可以修改全局管理员的 PasswordHash，直接接管管理员账号（CVE-2026-96627）。单条修复线是 2.6.0。

启用了 OIDC 且打开账户合并时，oidcMergeAccounts 在身份提供方没有给出 email_verified 的情况下默认放开。攻击者可以让 IdP 返回受害者的邮箱并触发合并，从而接管本地账号（GHSA-577w-5mcf-3wc9，暂无 CVE 编号）。受影响版本低于 v2.15.0，修复在 v2.16.0。

---

二、漏洞状态

统计截止： 2026 年 10 月 18 日（UTC+8）

停在 2.6 到 2.15 之前时，前两条可能已经过了各自的修复线，OIDC 合并那条仍在。Hub 上没有 v2.5.0、v2.6.0 这两个标签。

---

三、影响范围

1. 版本与发行形态

官方还通过 GHCR 分发同一产品。Docker Hub 上的修复标签是 getarcaneapp/manager，带 v 前缀。不要改用别的仓库名。

v2.17.0-next 一类标签是预发布，不要把它当成这条公告的正式修复版。

没有把 registry 测试权限授给普通用户、没有委托 users:update、并且没有打开 OIDC 账户合并的实例，三条不会同时用上。版本低于对应修复线时，具备该权限的人仍然可以走通自己那条。

2. 典型受影响场景

• 有人同时能改 registry 地址和做连通性测试，库里存着仓库 PAT
• 低权限账号被授予 users:update
• 打开了 OIDC，并且允许按邮箱合并本地账户

---

四、修复建议

1. 升级到 v2.16.0 或更高（推荐）

Hub 上 v2.16.1 同样高于修复线，可以选用。

Docker Hub： getarcaneapp/manager

轩辕镜像： getarcaneapp/manager

bash
docker pull docker.xuanyuan.run/getarcaneapp/manager:v2.16.0

将 Compose 或运行参数中的镜像改为上述坐标后，重新创建容器。升级后确认版本不低于 v2.16.0。

2. 升级后轮换可能已经送出的仓库凭据

registry 测试曾经对不可信用户开放的，按 PAT 和密码可能已被发往其他主机处理：在上游仓库吊销这些令牌，再在新版本里重新保存。管理员口令在 users:update 曾经被委托时一并重设。打开了 OIDC 合并的，核对有没有未经确认的账户被并进来。

---

五、临时缓解措施

在完成升级之前：

1. 不要把 registries:update 和 registries:test 交给不可信用户
   低于 2.5.0 时，这两项一起可以让测试请求带上明文凭据。

2. 收回不必要的 users:update
   低于 2.6.0 时，这项委托可以改全局管理员的口令哈希。

3. 先关掉 OIDC 账户合并
   低于 v2.15.0 且合并开着时，缺少 email_verified 会默认继续合并。关掉合并不能代替升到 v2.16.0。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 Arcane 的版本升级。

• 站内页：getarcaneapp/manager。拉取命令为 docker.xuanyuan.run/getarcaneapp/manager:v2.16.0。
• 加速拉取不会自动变成 v2.16.0。请把标签固定为 v2.16.0 或更高，例如已存在的 v2.16.1。
• 配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• Arcane：GHSA-9pxc-cxp5-qp54（CVE-2026-96626）
• Arcane：GHSA-pw5q-rjx4-7f7p（CVE-2026-96627）
• Arcane：GHSA-577w-5mcf-3wc9
• Docker Hub：getarcaneapp/manager
• 轩辕站内镜像页：getarcaneapp/manager

---

轩辕镜像安全团队
2026 年 10 月 17 日