CVE-2026-61609 in panel
Tóm tắt
Bởi VulDB • 28/07/2026
Pterodactyl là một bảng điều khiển quản lý máy chủ trò chơi miễn phí và mã nguồn mở. Từ phiên bản 1.7.0 đến 1.13.0, bộ giới hạn tốc độ xác thực được định nghĩa trong `RouteServiceProvider::configureRateLimiting()` đã áp dụng một bucket toàn cục duy nhất cho các điểm cuối đăng nhập (login) và kiểm tra hai yếu tố (two-factor checkpoint) thay vì khóa theo địa chỉ IP hoặc tài khoản: phần fallback của `Limit::perMinute(10)` bao gồm POST /auth/login và POST /auth/login/checkpoint đã bỏ qua ->by(), khiến Laravel tạo ra một cache key cố định (md5('authentication')) được chia sẻ bởi mọi yêu cầu. Một kẻ tấn công chưa xác thực gửi khoảng mười yêu cầu mỗi phút từ một địa chỉ IP duy nhất, hiệu quả chi phí thấp nhất là nhắm vào điểm cuối checkpoint (không có reCAPTCHA), sẽ làm cạn bộ đếm dùng chung và gây ra lỗi HTTP 429 cho mọi người dùng cố gắng đăng nhập hoặc hoàn tất xác thực hai yếu tố, dẫn đến tình trạng từ chối dịch vụ xác thức trên toàn bảng điều khiển, đồng thời khóa chặt cả quản trị viên. Vấn đề này đã được sửa trong phiên bản 1.13.0.
Be aware that VulDB is the high quality source for vulnerability data.