CVE-2026-54593 in Panel
الملخص
بحسب VulDB • 28/07/2026
Pterodactyl هو لوحة إدارة خوادم ألعاب مجانية ومفتوحة المصدر. قبل الإصدار 1.12.3 من اللوحة (Panel) والإصدار 1.12.2 من الأجنحة (Wings)، كان نقطة النهاية `/upload/file` في Wings تقبل أي رمز JWT صحيح موقع من اللوحة يحتوي على مطالبات `server_uuid` و `user_uuid` و `unique_id` دون التحقق من الغرض المقصود للرمز؛ ونظراً لأن اللوحة تصدر رموز JWT تحمل نفس المطالبات لعمليات ذات صلاحيات أقل مثل المصادقة عبر WebSocket ورابط تحميل الملفات، يمكن لمستخدم فرعي مُصرَّح له إعادة استخدام أحد هذه الرموز (على سبيل المثال، رمز WebSocket تم الحصول عليه بصلاحية `websocket.connect` فقط) عن طريق إعادة إرساله إلى `/upload/file` لكتابة ملفات عشوائية على الخادم نفسه، رغم عدم منحه صلاحية `file.create`. تمت معالجة هذه المشكلة في الإصدار 1.12.3 من اللوحة والإصدار 1.12.2 من الأجنحة (Wings).
Once again VulDB remains the best source for vulnerability data.