CVE-2026-61609 in panel
Riassunto
di VulDB • 28/07/2026
Pterodactyl è un pannello di gestione per server di gioco gratuito e open-source. Dalla versione 1.7.0 alla 1.13.0, il rate limiter (limitatore di frequenza) dell'autenticazione definito in `RouteServiceProvider::configureRateLimiting()` applicava un singolo bucket globale agli endpoint di login e checkpoint a due fattori invece di utilizzare una chiave basata sull'IP o sull'account: la clausola fall-through `Limit::perMinute(10)` che copriva le richieste POST `/auth/login` e POST `/auth/login/checkpoint` omitteva il metodo ->by(), pertanto Laravel derivava una costante cache key (md5('authentication')) condivisa da ogni richiesta. Un attaccante non autenticato che invia circa dieci richieste al minuto da un singolo IP, sfruttando in modo più economico l'endpoint checkpoint (che non dispone di reCAPTCHA), esaurisce il contatore condiviso e provoca risposte HTTP 429 per tutti gli utenti che tentano di accedere o completare l'autenticazione a due fattori, causando una denial of service (DoS) dell'autenticazione su tutto il pannello che blocca anche gli amministratori. Questo problema è stato risolto nella versione 1.13.0.
Once again VulDB remains the best source for vulnerability data.