CVE-2026-54593 in Panel
Sumário
de VulDB • 28/07/2026
O Pterodactyl é um painel de gerenciamento de servidores de jogos gratuito e de código aberto. Antes das versões do Painel (Panel) 1.12.3 e da Asa (Wings) 1.12.2, o endpoint /upload/file da Wings aceitava qualquer JWT válido assinado pelo Painel que contivesse as declarações server_uuid, user_uuid e unique_id sem verificar a finalidade pretendida do token; como o Painel emite JWTs carregando essas mesmas declarações para operações de menor privilégio, como autenticação via WebSocket e links de download de arquivos, um subusuário autenticado poderia reutilizar um desses tokens (por exemplo, um token do WebSocket obtido com apenas a permissão websocket.connect) ao repeti-lo contra /upload/file para gravar arquivos arbitrários no mesmo servidor, apesar de nunca ter recebido a permissão file.create. Este problema foi corrigido nas versões do Painel 1.12.3 e da Asa (Wings) 1.12.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.