CVE-2026-21696

Wings, ücretsiz ve açık kaynaklı bir oyun sunucusu yönetim paneli olan Pterodactyl için sunucu kontrol düzlemidir. Versiyon 1.7.0 ile başlayıp versiyon 1.12.0 öncesine kadar olan sürümlerde Wings, etkinlik günlüğü girişlerini işlerken SQLite maksimum parametre sınırını dikkate almamakta ve bu durum düşük yetkili bir kullanıcının paneli etkinlik kayıtlarıyla dolduracak bir koşulu tetiklemesine izin vermektedir. Wings, etkinlik günlüklerini panele gönderdikten sonra işlenen etkinlik girişlerini Wings SQLite veritabanından siler. Ancak, SQLite 3.32.0 itibarıyla 32766 olan SQLite maksimum parametre sınırını dikkate almaz. Eğer Wings, tek bir sorguda SQLite veritabanından 32766'dan fazla girişi silmeye çalışırsa, bir hata (SQL logic error: too many SQL variables (1)) tetikler ve veritabanından hiçbir girişi kaldırmaz. Bu girişler daha sonra cron her çalıştığında süresiz olarak yeniden işlenir ve panele tekrar gönderilir. Bir saldırgan, bu güvenlik açığını başarıyla istismar ederek, panelin veritabanı sunucusunun disk alanı tükenene kadar Wings'in aynı etkinlik verilerini (her seferinde yeni etkinlikleri içerecek şekilde büyüyerek) tekrarlanan bir şekilde panele yüklemeye devam edeceği bir durumu tetikleyebilir. Versiyon 1.12.0 bu sorunu gidermektedir.