CVE-2026-61609 in panel
Zusammenfassung
von VulDB • 28.07.2026
Pterodactyl ist ein kostenloses Open-Source-Gameserver-Managementpanel. Von Version 1.7.0 bis 1.13.0 wandte der Authentifizierungs-Rate-Limiter, definiert in `RouteServiceProvider::configureRateLimiting()`, einen einzelnen globalen Bucket für die Endpunkte Login und Two-Factor-Checkpoint anstelle einer Schlüsselung nach IP oder Konto an: Der Fall-through-Wert `Limit::perMinute(10)`, der `POST /auth/login` und `POST /auth/login/checkpoint` abdeckte, ließ `.by()` wegfallen, sodass Laravel einen konstanten Cache-Schlüssel (md5('authentication')) ableitete, der von jeder Anfrage geteilt wurde. Ein nicht authentifizierter Angreifer, der etwa zehn Anfragen pro Minute von einer einzelnen IP sendet – am kostengünstigsten gegen den Checkpoint-Endpunkt (der kein reCAPTCHA hat) –, erschöpft den gemeinsamen Zähler und verursacht HTTP 429 für jeden Benutzer, der versucht sich anzumelden oder die Zwei-Faktor-Authentifizierung abzuschließen. Dies führt zu einer panelweiten Authentifizierungs-Denial-of-Service-Störung, von der auch Administratoren ausgeschlossen werden. Dieses Problem wurde in Version 1.13.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.