CVE-2025-49132

概要

Pterodactylは、無料のオープンソースゲームサーバー管理パネルです。バージョン1.11.11より前では、`/locales/locale.json`を`locale`および`namespace`クエリパラメータとともに使用することで、悪意のある攻撃者が認証なしで任意のコードを実行できました。任意のコードを実行できる能力により、パネルのサーバーへのアクセス獲得、パネルの設定からの認証情報の読み取り、データベースからの機密情報の抽出、パネルが管理するサーバーのファイルへのアクセスなどに悪用される可能性があります。この問題はバージョン1.11.11で修正されています。この脆弱性に対するソフトウェアによる回避策はありませんが、外部のWebアプリケーションファイアウォール（WAF）の使用がこの攻撃の緩和に役立つ可能性があります。

• CVE-2025-49132-pocPoC

  CVE-2025-49132の概念実証エクスプロイト。Pterodactylのファイルインクルード脆弱性を悪用し、pearcmd.phpを介してリモートコード実行を達成します。

• CVE-2025-49132PoC

  この脆弱性により、攻撃者は事前認証なしにPterodactyl Panelをホストしているサーバー上で任意のシステムコマンドを実行できます。

• CVE-2025-49132PoC

  CVE-2025-49132の概念実証エクスプロイト。Pterodactyl Panel（1.9.0～1.11.10）の重大なRCEで、検出と資格情報ダンプのガイダンスを提供します。