CVE-2025-49132-PoC

Guide to use script that exploit the Pterodactyl Path Traversal at locale.json

要件

• 公開された Redis サーバー
• パネル URL

手順

1. APP_KEY と Redis データベースのパスワード + IP が含まれるサーバー設定ファイルへのアクセスを取得する
2. forge_cookie を使用して pterodactyl_session クッキーを生成する
3. そのクッキーを使用して Pterodactyl API にアクセスする

注意

• このスクリプトは教育目的のみです。責任を持って使用し、対象システムをテストする許可を得ていることを確認してください。
• パネルの Web パネル経由でのログインは、SQL データベースに保存されている "remember_token" が必要なため、実行できません。
• 偽造されたクッキーでアクセスできるのは API のみです。