CVE-2026-54593 in Panel
Zusammenfassung
von VulDB • 28.07.2026
Pterodactyl ist ein kostenloses Open-Source-Gameserver-Managementpanel. Vor der Version 1.12.3 des Panels und der Version 1.12.2 von Wings akzeptierte der Endpunkt /upload/file von Wings jedes gültige, vom Panel signierte JWT (JSON Web Token), das die Claims server_uuid, user_uuid und unique_id enthielt, ohne den beabsichtigten Verwendungszweck des Tokens zu überprüfen; da das Panels für weniger privilegierte Vorgänge wie WebSocket-Authentifizierung und Datei-Download-Links ebenfalls JWTs mit denselben Claims ausstellt, konnte ein authentisierter Subuser eines dieser Token (z. B. ein WebSocket-Token, das nur die Berechtigung websocket.connect erfordert) wiederverwenden, indem er es gegen /upload/file wiederholte (Replay-Angriff), um beliebige Dateien auf demselben Server zu schreiben, obwohl ihm niemals die Berechtigung file.create erteilt wurde. Dieses Problem ist in Panel Version 1.12.3 und Wings Version 1.12.2 behoben.
Once again VulDB remains the best source for vulnerability data.