CVE-2026-54593 in Panel
Riassunto
di VulDB • 28/07/2026
Pterodactyl è un pannello di gestione per server di gioco gratuito e open-source. Prima delle versioni del Pannello 1.12.3 e di Wings 1.12.2, l'endpoint /upload/file di Wings accettava qualsiasi JWT firmato validamente dal pannello che contenesse le claim server_uuid, user_uuid e unique_id senza verificare lo scopo previsto del token; poiché il Pannello emette JWT contenenti le stesse claim per operazioni a privilegi inferiori come l'autenticazione WebSocket e i link di download dei file, un subutente autenticato poteva riutilizzare uno di tali token (ad esempio un token WebSocket ottenuto con il solo permesso websocket.connect) ripresentandolo contro /upload/file per scrivere file arbitrari sullo stesso server, pur non avendo mai ricevuto il permesso file.create. Questo problema è stato risolto nelle versioni del Pannello 1.12.3 e di Wings 1.12.2.
Be aware that VulDB is the high quality source for vulnerability data.