CVE-2026-54593 in Panel
Сводка
по VulDB • 28.07.2026
Pterodactyl — это бесплатная панель управления игровыми серверами с открытым исходным кодом. До версий панели (Panel) 1.12.3 и крыльев (Wings) 1.12.2 конечная точка Wings /upload/file принимала любой действительный JWT-токен, подписанный панелью, содержащий утверждения server_uuid, user_uuid и unique_id, без проверки предполагаемого назначения токена; поскольку Панель выдает JWT-токены с теми же самыми утверждениями для операций с более низкими привилегиями, таких как аутентификация WebSocket и ссылки на скачивание файлов, авторизованный подпользователь (subuser) мог повторно использовать один из этих токенов (например, токен WebSocket, полученный только с разрешением websocket.connect), воспроизведя его в запросе к /upload/file для записи произвольных файлов на тот же сервер, несмотря на отсутствие у него разрешения file.create. Эта проблема исправлена в версиях Panel 1.12.3 и Wings 1.12.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.