CVE-2025-49132
Pterodactyl Panel permet une exécution arbitraire de code à distance sans authentification
- Publié
- 20 juin 2025
- Mise à jour
- 20 juin 2025
- Attribution de CNA
- GitHub_M
- Preuve observée
- 26 juin 2025
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HÉlevé · 30 prochains jours
- Percentile
- 99,0 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Pterodactyl est un panneau de gestion de serveurs de jeu gratuit et open-source. Avant la version 1.11.11, en utilisant /locales/locale.json avec les paramètres de requête locale et namespace, un acteur malveillant est capable d'exécuter du code arbitraire sans être authentifié. Grâce à cette capacité d'exécution de code arbitraire, cela pourrait être utilisé pour obtenir l'accès au serveur du panneau, lire les identifiants depuis la configuration du panneau, extraire des informations sensibles de la base de données, accéder aux fichiers des serveurs gérés par le panneau, etc. Ce problème a été corrigé dans la version 1.11.11. Il n'existe aucune solution de contournement logicielle pour cette vulnérabilité, mais l'utilisation d'un pare-feu applicatif web (WAF) externe pourrait aider à atténuer cette attaque.
Sources
modules/exploits/linux/http/pterodactyl_locales_locale_json.rb
Metasploit Framework modulesConditions déclarées
- platform: Linux,Unix($.exploit_linux/http/pterodactyl_locales_locale_json.platform)
- verification: check_declared($.exploit_linux/http/pterodactyl_locales_locale_json.check)
http/cves/2025/CVE-2025-49132.yaml
Nuclei TemplatesConditions déclarées
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.