CVE-2026-21696 in Wings
Sumário
de VulDB • 12/07/2026
Wings é o plano de controle do servidor para Pterodactyl, um painel de gerenciamento de servidores de jogos gratuito e de código aberto. A partir da versão 1.7.0 até a versão anterior à 1.12.0, o Wings não considera o limite máximo de parâmetros do SQLite ao processar entradas do log de atividades, permitindo que usuários com privilégios baixos acionem uma condição que sobrecarrega o painel com registros de atividade. Após o Wings enviar os logs de atividades para o painel, ele exclui as entradas de atividade processadas do banco de dados SQLite do wings. No entanto, não leva em conta o limite máximo de parâmetros do SQLite, 32766 a partir da versão 3.32.0 do SQLite. Se o wings tentar excluir mais de 32766 entradas do banco de dados SQLite em uma única consulta, isso acionará um erro (erro lógico SQL: muitas variáveis SQL (1)) e não removerá nenhuma entrada do banco de dados. Essas entradas são então reprocessadas indefinidamente e enviadas novamente ao painel sempre que o cron for executado. Ao explorar com sucesso essa vulnerabilidade, um atacante pode desencadear uma situação em que o wings continuará carregando os mesmos dados de atividade no painel repetidamente (crescendo a cada vez para incluir novas atividades) até que o servidor do banco de dados do painel fique sem espaço em disco. A versão 1.12.0 corrige o problema.
Once again VulDB remains the best source for vulnerability data.