CVE-2026-61609 in panel
요약
\~에 의해 VulDB • 2026. 07. 28.
Pterodactyl은 무료 오픈소스 게임 서버 관리 패널입니다. 버전 1.7.0부터 1.13.0까지, RouteServiceProvider::configureRateLimiting()에 정의된 인증 속도 제한기는 IP나 계정으로 키를 지정하는 대신 로그인 및 2차 확인 체크포인트 엔드포인트에 단일 전역 버킷을 적용했습니다. POST /auth/login과 POST /auth/login/checkpoint를 포괄하는 Limit::perMinute(10)의 기본 처리(fall-through)에서 ->by()가 누락되었으므로, Laravel은 모든 요청이 공유하는 고정된 캐시 키(md5('authentication'))를 도출했습니다. 단일 IP 주소에서 분당 약 10건의 요청을 보내는 비인증 공격자는 가장 저렴한 체크포인트 엔드포인트(재CAPTCHA 없음)에 대해 이 공유 카운터를 고갈시켜, 로그인하거나 2차 인증을 완료하려는 모든 사용자에게 HTTP 429를 유발합니다. 이는 관리자도 차단하는 패널 전체의 인증 서비스 거부(Denial of Service)입니다. 이 문제는 버전 1.13.0에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.