CVE-2026-21696 in Wings
Resumen
por VulDB • 2026-08-13
Wings es la capa de control del servidor para Pterodactyl, un panel de gestión de servidores de juegos gratuito y de código abierto. A partir de la versión 1.7.0 e inferior a la versión 1.12.0, Wings no tiene en cuenta el límite máximo de parámetros de SQLite al procesar las entradas del registro de actividad, lo que permite que un usuario con privilegios bajos desencadene una condición que sature el panel con registros de actividad. Después de que Wings envía los registros de actividad al panel, elimina las entradas de actividad procesadas de la base de datos SQLite de wings. Sin embargo, no considera el límite máximo de parámetros de SQLite, 32766 a partir de SQLite 3.32.0. Si wings intenta eliminar más de 32766 entradas de la base de datos SQLite en una sola consulta, se produce un error (error lógico de SQL: demasiadas variables SQL (1)) y no elimina ninguna entrada de la base de datos. Estas entradas vuelven a procesarse indefinidamente y se reenvían al panel cada vez que se ejecuta el cron. Al explotar con éxito esta vulnerabilidad, un atacante puede desencadenar una situación en la que wings seguirá cargando los mismos datos de actividad en el panel repetidamente (creciendo cada vez para incluir nueva actividad) hasta que el servidor de base de datos del panel quede sin espacio en disco. La versión 1.12.0 corrige este problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.