CVE-2025-49132
Pterodactyl Panel يسمح بتنفيذ كود تعسفي عن بُعد دون مصادقة
- تم النشر
- 20/06/2025
- محدث
- 20/06/2025
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 26/06/2025
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hمرتفع · الثلاثين يومًا القادمة
- المئوية
- 99.0%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
Pterodactyl هي لوحة إدارة خوادم ألعاب مجانية ومفتوحة المصدر. قبل الإصدار 1.11.11، كان بإمكان المهاجم تنفيذ تعليمات برمجية عشوائية دون مصادقة باستخدام /locales/locale.json مع معاملات الاستعلام locale وnamespace. ومع القدرة على تنفيذ تعليمات برمجية عشوائية، يمكن استخدام ذلك للوصول إلى خادم اللوحة، وقراءة بيانات الاعتماد من إعدادات اللوحة، واستخراج معلومات حساسة من قاعدة البيانات، والوصول إلى ملفات الخوادم التي تديرها اللوحة، وغير ذلك. تم إصلاح هذه المشكلة في الإصدار 1.11.11. لا توجد حلول برمجية بديلة لهذه الثغرة، لكن استخدام جدار حماية خارجي لتطبيقات الويب (WAF) قد يساعد في التخفيف من هذا الهجوم.
المصادر
modules/exploits/linux/http/pterodactyl_locales_locale_json.rb
Metasploit Framework modulesالشروط المعلنة
- platform: Linux,Unix($.exploit_linux/http/pterodactyl_locales_locale_json.platform)
- verification: check_declared($.exploit_linux/http/pterodactyl_locales_locale_json.check)
http/cves/2025/CVE-2025-49132.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.