CVE-2025-49132
Pterodactyl Panel permite la ejecución remota de código arbitrario sin autenticación
- Publicado
- 20 jun 2025
- Actualizado
- 20 jun 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 26 jun 2025
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HAlto · próximos 30 días
- Percentil
- 99,0 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Pterodactyl es un panel de administración de servidores de juegos gratuito y de código abierto. Antes de la versión 1.11.11, al usar el archivo /locales/locale.json con los parámetros de consulta de configuración regional y espacio de nombres, un actor malicioso podía ejecutar código arbitrario sin estar autenticado. Esta capacidad de ejecutar código arbitrario podía utilizarse para acceder al servidor del panel, leer credenciales de su configuración, extraer información confidencial de la base de datos, acceder a los archivos de los servidores administrados por el panel, etc. Este problema se ha corregido en la versión 1.11.11. No existen soluciones alternativas de software para esta vulnerabilidad, pero el uso de un firewall de aplicaciones web (WAF) externo podría ayudar a mitigar este ataque.
Fuentes
modules/exploits/linux/http/pterodactyl_locales_locale_json.rb
Metasploit Framework modulesCondiciones declaradas
- platform: Linux,Unix($.exploit_linux/http/pterodactyl_locales_locale_json.platform)
- verification: check_declared($.exploit_linux/http/pterodactyl_locales_locale_json.check)
http/cves/2025/CVE-2025-49132.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
Prueba de concepto del exploit para CVE-2025-49132, que abusa de una vulnerabilidad de inclusión de archivos en Pterodactyl para lograr la ejecución remota de código a través de pearcmd.php.
La falla permite a un atacante ejecutar comandos arbitrarios del sistema en el servidor que aloja el Pterodactyl Panel sin necesidad de autenticación previa.
Exploit de prueba de concepto para CVE-2025-49132, un RCE crítico en Pterodactyl Panel (1.9.0–1.11.10), con guía de detección y volcado de credenciales.
- CVE-2025-49132_HTB_SEASON10Exploit
Exploit RCE no autenticado para CVE-2025-49132 en Pterodactyl Panel mediante path traversal, inyección de comandos PEAR y ejecución de código PHP. Incluye writeup de HTB y script auxiliar.
Exploit PoC para CVE-2025-49132 (GHSA-24wv-6c99-f843) – Ejecución remota de código no autenticada en Pterodactyl Panel ≤ 1.11.10
Esta es una versión mejorada del exploit de prueba de concepto para CVE-2025-49132.
Exploit de prueba de concepto para CVE-2025-49132 que permite la ejecución remota de código sin autenticación en Pterodactyl Panel <= 1.11.10 mediante inyección del parámetro locale. Incluye modos de verificación y explotación.
- CVE-2025-49132-ModsExploit
Exploit automatizado para CVE-2025-49132, un RCE crítico no autenticado en Pterodactyl Panel. Aprovecha LFI a través del endpoint de locale para desplegar webshells persistentes y lograr acceso de shell inverso.
- CVE-2025-49132_HTB_SEASON10Exploit
Exploit para CVE-2025-49132 dirigido al Panel Pterodactyl, que combina path traversal con inyección de comandos PEAR para ejecución remota de código no autenticada. Incluye scripts bash y Python para ejecución de comandos, shells inversas y guía de escalada de privilegios.
- CVE-2025-49132Exploit
CVE For Pterodactyl (Para estudio y educación)
- CVE-2025-49132-PHP-PEARExploit
CVE-2025-49132_PHP_PEAR_METHOD
- CVE-2025-49132Exploit
Exploit en Python para CVE-2025-49132, que permite la ejecución remota de código no autenticada en Pterodactyl Panel mediante parámetros locale y namespace modificados.
- CVE-2025-49132Exploit
Este repositorio contiene una Prueba de Concepto (PoC) para CVE-2025-49132, una vulnerabilidad crítica en Pterodactyl Panel versiones < 1.11.11.
Este repositorio contiene un exploit RCE para la máquina htb Pterodactyl
- HTB-Pterodactyl-WriteupInvestigación
HackTheBox — Walkthrough de Pterodactyl (Medium/Linux). CVE-2025-49132 LFI → pearcmd RCE → crackeo de bcrypt → SSH. Escalada de privilegios vía CVE-2025-6018 (bypass de pam_environment en PAM) + CVE-2025-6019 (condición de carrera en resize de XFS de udisks2, bypass de nosuid) → root. Incluye notas completas y pasos.
- CVE-2025-49132Exploit
Exploit para Pterodactyl Panel ≤ 1.11.10 - LFI no autenticado a RCE
- CVE-2025-49132Exploit
Un script que te proporciona las credenciales de un panel Pterodactyl vulnerable a CVE-2025-49132
Este script explota la vulnerabilidad de Ejecución Remota de Código en Pterodactyl Panel < 1.11.11
- CVE-2025-49132Exploit
CVE-2025-49132: Pterodactyl Panel UnauthN LFI a RCE (con pearcmd) en posix sh
- CVE-2025-49132Escáner
Poc - CVE-2025-49132
- CVE-2025-49132Exploit
Comprueba una lista de paneles de Pterodactyl en busca de vulnerabilidades desde un archivo.
- CVE-2025-49132_pocEscáner
Pterodactyl panel CVE-2025-49132 detección masiva ☝️🤓
Exploit de prueba de concepto para CVE-2025-49132 que entrega una shell reversa. Incluye variables de host/listener personalizables y salida limpia para pruebas de penetración y uso educativo.
Explotar CVE-2025-49132 Pterodactyl Panel RCE
Exploit de prueba de concepto para CVE-2025-49132, una vulnerabilidad de path traversal en el panel de Pterodactyl. Forja cookies de sesión utilizando un servidor Redis expuesto para acceder a la API.
- CVE-2025-49132Exploit
CVE-2025-49132
Zen-kun04 · multiple · 26 jun 2025
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.