【漏洞预警】Arcane 注册表凭据外泄、委托改密与 OIDC 账户合并（CVE-2026-96626 / 96627）

Arcane 官方镜像 getarcaneapp/manager 有三条高危：持有 registries 更新和测试权限时可把已存令牌发到攻击者主机（CVE-2026-96626，CVSS 8.5，修复 ≥2.5.0）；持有 users:update 可改全局管理员口令哈希（CVE-2026-96627，CVSS 8.8，修复 ≥2.6.0）；OIDC 账户合并在缺少 email_verified 时默认放开（GHSA-577w-5mcf-3wc9，CVSS 8.8，暂无 CVE，受影响低于 v2.15.0，修复 ≥v2.16.0）。请升到 v2.16.0 或更高。