CVE-2025-49132

Pterodactyl es un panel de gestión de servidores de juegos gratuito y de código abierto. Antes de la versión 1.11.11, mediante el uso de /locales/locale.json con los parámetros de consulta locale y namespace, un actor malicioso puede ejecutar código arbitrario sin autenticación. Con la capacidad de ejecutar código arbitrario, podría usarse para obtener acceso al servidor del Panel, leer credenciales de la configuración del Panel, extraer información sensible de la base de datos, acceder a archivos de servidores gestionados por el panel, etc. Este problema se ha corregido en la versión 1.11.11. No hay soluciones de software para esta vulnerabilidad, pero el uso de un Firewall de Aplicaciones Web (WAF) externo podría ayudar a mitigar este ataque.

Cómo funciona

El atacante envía una solicitud GET a /locales/locale.json; si la respuesta devuelve un JSON y la URL no contiene el parámetro hash=, entonces es vulnerable a CVE-2025-49132.

Para explotar la vulnerabilidad tienes que usar los parámetros locale= y namespace= al mismo tiempo para leer SOLO ARCHIVOS PHP y obtendrás una respuesta JSON con las variables almacenadas en el archivo PHP que seleccionaste.

Por ejemplo: /locales/locale.json?locale=../../../pterodactyl&namespace=config/database

Para encontrar archivos PHP más interesantes que leer, puedes revisar el repositorio oficial de Pterodactyl ^^

Cómo usar el script

Obtén las credenciales de la base de datos con el comando: python3 CVE-2025-49132_PoC.py.py <url>

Cómo obtener acceso a un panel de Pterodactyl como administrador con CVE-2025-49132

1. Obtén las credenciales de la base de datos
2. Encuentra una forma de establecer una conexión con su base de datos usando las credenciales que has encontrado (puerto 3306 abierto, phpmyadmin local, o directamente phpmyadmin.co)
3. Si lograste acceder a la base de datos, ¡felicidades! solo tienes que crearte una cuenta de Pterodactyl en la tabla users
4. Conéctate al panel con el usuario que creaste
5. Ahora estás conectado al panel como administrador y tienes acceso a todo :)

En este punto deberías tener conocimientos básicos de pentesting para saber cómo obtener una reverse shell.