CVE-2026-61609 in panel
Сводка
по VulDB • 28.07.2026
Pterodactyl — это бесплатная панель управления игровыми серверами с открытым исходным кодом. В версиях от 1.7.0 до 1.13.0 включительно ограничитель частоты аутентификации, определенный в `RouteServiceProvider::configureRateLimiting()`, применял единый глобальный бакет к конечным точкам входа и проверки двухфакторной аутентификации вместо привязки по IP-адресу или учетной записи: срабатывание правила `Limit::perMinute(10)`, охватывающего запросы POST /auth/login и POST /auth/login/checkpoint, пропускало вызов метода ->by(), в результате чего Laravel формировал постоянный ключ кэша (md5('authentication')), общий для всех запросов. Неавторизованный злоумышленник, отправляющий примерно десять запросов в минуту с одного IP-адреса, наиболее экономично воздействуя на конечную точку проверки двухфакторной аутентификации (которая не использует reCAPTCHA), исчерпывает общий счетчик и вызывает ошибку HTTP 429 для всех пользователей, пытающихся войти в систему или завершить процесс двухфакторной аутентификации. Это приводит к отказу в обслуживании механизма аутентификации на уровне всей панели управления, включая блокировку доступа администраторов. Данная проблема исправлена в версии 1.13.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.