CVE-2026-61609 in panel
الملخص
بحسب VulDB • 28/07/2026
Pterodactyl هو لوحة إدارة خوادم الألعاب مجانية ومفتوحة المصدر. من الإصدار 1.7.0 حتى 1.13.0، كان مُقيّد معدل المصادقة (authentication rate limiter) المحدد في `RouteServiceProvider::configureRateLimiting()` يطبق دلوًا عالميًا واحدًا (single global bucket) على نقاط نهاية تسجيل الدخول والتحقق ثنائي العامل بدلاً من ربطه بعنوان IP أو بالحساب: تجاوزت القيود `Limit::perMinute(10)` التي تغطي المسارات `POST /auth/login` و `POST /auth/login/checkpoint` استدعاء `.by()`، مما أدى إلى اشتقاق Laravel لمفتاح ذاكرة تخزين مؤقت ثابت (md5('authentication')) يتم مشاركته من قبل كل طلب. يمكن للمهاجم غير المصادق عليه الذي يرسل حوالي عشرة طلبات في الدقيقة من عنوان IP واحد، وأرخص ذلك ضد نقطة نهاية التحقق ثنائي العامل (التي لا تحتوي على reCAPTCHA)، استنفاد العداد المشترك وتسبب خطأ HTTP 429 لكل مستخدم يحاول تسجيل الدخول أو إكمال المصادقة الثنائية، وهو ما يشكل هجمة حرمان من الخدمة (DoS) على مستوى لوحة التحكم تؤثر أيضًا على حظر دخول المسؤولين. تم إصلاح هذه المشكلة في الإصدار 1.13.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.