CVE-2026-54593 in Panel
要約
〜によって VulDB • 2026年07月28日
Pterodactylは、無料のオープンソースゲームサーバー管理パネルです。Panelバージョン1.12.3およびWingsバージョン1.12.2より前では、Wingsの/upload/fileエンドポイントが、server_uuid、user_uuid、unique_idというクレームを含む有効なpanel署名付きJWTを、トークンの意図された用途を確認せずに受け入れていました。Panelは、WebSocket認証やファイルダウンロードリンクなど、低権限の操作に対しても同じクレームを持つJWTを発行するため、認証済みサブユーザーはこれらのトークン（例えばwebsocket.connect権限のみで取得したWebSocketトークン）を再利用し、/upload/fileに対してリプレイ攻撃を行うことで、file.create権限が付与されていないにもかかわらず、同一サーバー上に任意のファイルを書き込むことができました。この問題は、Panelバージョン1.12.3およびWingsバージョン1.12.2で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.