CVE-2026-61609 in panel
Sumário
de VulDB • 28/07/2026
O Pterodactyl é um painel de gerenciamento de servidores de jogos gratuito e de código aberto. Da versão 1.7.0 até a 1.13.0, o limitador de taxa de autenticação definido em `RouteServiceProvider::configureRateLimiting()` aplicava um único bucket global aos endpoints de login e checkpoint de dois fatores (2FA), em vez de utilizar chaves baseadas no IP ou na conta: o fallback do `Limit::perMinute(10)` que cobria as rotas POST `/auth/login` e POST `/auth/login/checkpoint` omitia a chamada ->by(), fazendo com que o Laravel derivasse uma chave de cache constante (md5('authentication')) compartilhada por todas as requisições. Um atacante não autenticado enviando aproximadamente dez requisições por minuto a partir de um único IP, mais economicamente contra o endpoint checkpoint (que não possui reCAPTCHA), esgota o contador compartilhado e causa HTTP 429 para todos os usuários que tentam fazer login ou concluir a autenticação em dois fatores, resultando em uma negação de serviço na autenticação em todo o painel que também bloqueia administradores. Este problema foi corrigido na versão 1.13.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.