CVE-2026-61609 in panel
要約
〜によって VulDB • 2026年07月28日
Pterodactylは、無料のオープンソースゲームサーバー管理パネルです。バージョン1.7.0から1.13.0の間、RouteServiceProvider::configureRateLimiting()で定義された認証レートリミッターは、IPやアカウントごとにキーを設定するのではなく、ログインおよび二段階認証チェックポイントのエンドポイントに対して単一のグローバルバケットを適用していました。POST /auth/login および POST /auth/login/checkpoint をカバーしていた Limit::perMinute(10) のフォールスルー処理で ->by() が省略されていたため、Laravel はすべてのリクエスト間で共有される定数のキャッシュキー (md5('authentication')) を導出しました。単一のIPから毎分約10回のリクエストを送信する認証されていない攻撃者は、最も低コストでチェックポイントエンドポイント（reCAPTCHAがない）に対して攻撃を行い、共有カウンターを枯渇させます。これにより、ログインまたは二段階認証の完了を試みるすべてのユーザーに対してHTTP 429エラーが発生し、管理者もロックアウトされるパネル全体の認証拒否サービス (DoS) が引き起こされます。この問題はバージョン1.13.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.