CVE-2026-54593
Açıklama
Pterodactyl, ücretsiz ve açık kaynaklı bir oyun sunucusu yönetim panelidir. Panel 1.12.3 ve Wings 1.12.2 sürümlerinden önce, Wings /upload/file uç noktası, server_uuid, user_uuid ve unique_id taleplerini içeren ve panel tarafından imzalanmış herhangi bir geçerli JWT'yi, belirtecin amaçlanan kullanımını kontrol etmeden kabul ediyordu; Panel, WebSocket kimlik doğrulaması ve dosya indirme bağlantıları gibi daha düşük ayrıcalıklı işlemler için aynı talepleri taşıyan JWT'ler düzenlediğinden, kimliği doğrulanmış bir alt kullanıcı, bu belirteçlerden birini (örneğin yalnızca websocket.connect izniyle elde edilen bir WebSocket belirtecini) /upload/file uç noktasına yeniden oynatarak, hiçbir zaman file.create izni verilmemiş olmasına rağmen aynı sunucuya rastgele dosyalar yazabiliyordu. Bu sorun Panel 1.12.3 ve Wings 1.12.2 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- pterodactyl/panel1.12.3 ya da sonraki bir sürüm
- github.com/pterodactyl/wings1.12.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pterodactyl/panelPackagist | v < 1.12.3 | 1.12.3 |
| github.com/pterodactyl/wingsGo | v < 1.12.2 | 1.12.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.