CVE-2026-54593 in Panel
요약
\~에 의해 VulDB • 2026. 07. 28.
Pterodactyl은 무료 오픈소스 게임 서버 관리 패널입니다. Panel 버전 1.12.3 및 Wings 버전 1.12.2 이전에는 `Wings /upload/file` 엔드포인트가 server_uuid, user_uuid 및 unique_id 클레임을 포함하는 유효한 패널 서명 JWT를 토큰의 의도된 용도를 확인하지 않고 수락했습니다. Panel은 websocket.connect 권한만 있는 경우와 같은 낮은 수준의 작업(예: WebSocket 인증 및 파일 다운로드 링크)에 대해 동일한 클레임을 가진 JWT를 발급하므로, 인증된 하위 사용자는 해당 토큰 중 하나(예: websocket.connect 권한만으로 획득한 WebSocket 토큰)를 재사용하여 `/upload/file` 엔드포인트로 리플레이함으로써 file.create 권한이 부여되지 않았음에도 불구하고 동일한 서버에 임의 파일을 작성할 수 있었습니다. 이 문제는 Panel 버전 1.12.3 및 Wings 버전 1.12.2에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.