CVE-2026-54593 in Panel
Résumé
par VulDB • 28/07/2026
Pterodactyl est un panneau de gestion de serveurs de jeu gratuit et open source. Avant les versions du Panel 1.12.3 et des Wings 1.12.2, le point de terminaison /upload/file des Wings acceptait n'importe quel JWT signé par le panel valide contenant les revendications server_uuid, user_uuid et unique_id sans vérifier l'intention d'utilisation du jeton ; comme le Panel émet des JWT portant ces mêmes revendications pour des opérations à privilèges inférieurs tels que l'authentification WebSocket et les liens de téléchargement de fichiers, un sous-utilisateur authentifié pouvait réutiliser l'un de ces jetons (par exemple un jeton WebSocket obtenu avec uniquement la permission websocket.connect) en le rejouant contre /upload/file afin d'écrire des fichiers arbitraires sur le même serveur, bien qu'il n'ait jamais reçu la permission file.create. Ce problème est corrigé dans les versions du Panel 1.12.3 et des Wings 1.12.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.