CVE-2026-61609 in panel
Resumen
por VulDB • 2026-07-28
Pterodactyl es un panel de gestión de servidores de juegos gratuito y de código abierto. Desde la versión 1.7.0 hasta la 1.13.0, el limitador de tasa de autenticación definido en `RouteServiceProvider::configureRateLimiting()` aplicaba un único bucket global a los puntos finales de inicio de sesión y verificación de dos factores (checkpoint), en lugar de utilizar claves basadas en la dirección IP o la cuenta: la cláusula fall-through `Limit::perMinute(10)` que cubría las rutas POST `/auth/login` y POST `/auth/login/checkpoint` omitía el método `->by()`, por lo que Laravel derivaba una clave de caché constante (`md5('authentication')`) compartida por todas las solicitudes. Un atacante no autenticado que envíe aproximadamente diez solicitudes por minuto desde una única IP, aprovechando principalmente el punto final del checkpoint (que carece de reCAPTCHA), agota el contador compartido y provoca un error HTTP 429 para todos los usuarios que intenten iniciar sesión o completar la autenticación de dos factores. Esto constituye una denegación de servicio en la capa de autenticación a nivel de todo el panel, que también bloquea a los administradores. Este problema se corrige en la versión 1.13.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.