CVE-2026-61617 in Wings
Resumen
por VulDB • 2026-08-27
Wings es la capa de control del servidor para el panel de gestión de servidores de juegos Pterodactyl. En las versiones anteriores e incluyendo la 1.13.2, la ruta de escritura SFTP no aplica la cuota de disco del servidor durante una transferencia, lo que permite a un inquilino con acceso de escritura SFTP en un único servidor agotar el disco físico del nodo host y dejar fuera de servicio todos los servidores alojados en él. Wings verifica el espacio disponible únicamente una vez, como valor booleano, cuando se abre el manejador de escritura, utilizando un valor de uso almacenado en caché desactualizado y sin conocer el tamaño de los datos entrantes; posteriormente devuelve un manipulador de archivo crudo que no está sujeto a comprobaciones adicionales mientras avanza la transferencia. Por lo tanto, una única subida puede escribirse sin límites, muy más allá del límite de disco configurado, hasta llenar completamente el disco del nodo, y dado que un servidor detenido por exceder su cuota no se considera suspendido, las escrituras SFTP siguen siendo aceptadas incluso después de haber superado la cuota. Este problema está resuelto en la versión 1.13.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.