CVE-2025-49132 Доказательство концепции (PoC)

Этот репозиторий содержит доказательство концепции (PoC) для CVE-2025-49132, критической уязвимости удаленного выполнения кода (RCE) без аутентификации в Pterodactyl Panel версий до 1.11.11.

Детали уязвимости

• CVE ID: CVE-2025-49132
• Критичность: 10.0 (Critical) - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
• Затрагиваемые версии: < 1.11.11 (например, 1.9.0 – 1.11.10)
• Описание: Уязвимость произвольного удаленного выполнения кода без аутентификации существует в Pterodactyl Panel через конечную точку /locales/locale.json и может быть использована через параметры запроса locale и namespace. Это позволяет злоумышленникам выполнять произвольный код, читать конфиденциальные файлы (например, конфиги, .env), выгружать базы данных и получать доступ к управляемым серверам.
• Уведомление: GitHub Security Advisory GHSA-24wv-6c99-f843
• Исправление: Исправлено в v1.11.11. Примените патч из коммита 24c82b0 или обновитесь немедленно.
• Обходные пути: Используйте внешний WAF (например, Cloudflare). Программного обходного пути нет; отключите конечную точку на уровне веб-сервера, если это возможно (нарушает локализацию).

PoC-скрипт

Скрипт CVE-2025-49132-PoC.py — это автоматизированный инструмент, который может:

• Проверить, уязвима ли цель (проверяет path traversal до конфигурационных файлов).
• Выполнить эксплуатацию для ограниченного RCE (sleep 5 секунд в качестве демонстрации; требует установленного PEAR).
• Выгрузить учетные данные базы данных (из config/database).

Поддерживает как Linux, так и Windows цели путем корректировки разделителей путей. Включает цветной вывод и обработку ошибок для удобства использования.

Использование

python CVE-2025-49132-PoC.py <mode> <http://host> [--os <linux|windows>] [--traversal-level <int>]

#Пример команд

python CVE-2025-49132-PoC.py test http://sub.domain.com
python CVE-2025-49132-PoC.py dump http://domain.com
python CVE-2025-49132-PoC.py exploit http://sub.domain.com --os linux
python CVE-2025-49132-PoC.py test http://sub.domain.com --os linux --traversal-level 3

Если проверка не удалась, просмотрите выведенный URL, статус и ответ. Ответ может быть HTML, если конечная точка заблокирована или не уязвима. Убедитесь, что хост корректен и доступен.

Режимы:

• test: Проверка уязвимости.
• exploit: Выполнение RCE (sleep 5 секунд как PoC).
• dump: Выгрузка учетных данных.
• --os: linux (по умолчанию) или windows
• --traversal-level: Количество '../' (по умолчанию 3 для config/dump, 5 для RCE). Отрегулируйте, если пути отличаются (например, 4 или 6).

Рекомендации по OpSec

• Эксплуатация RCE может быть обнаружена через логи: cat /var/www/pterodactyl/storage/logs/laravel-2025--.log | grep 'Illuminate\Translation\FileLoader->load()'
• Если включены логи доступа, ищите записи с locale=...
• Конфигурация по умолчанию (без SSL) может не просто логировать учетные данные.

Правовое предупреждение

Данный PoC предоставляется исключительно в образовательных целях или для использования в авторизованных соревнованиях, таких как CTF (Capture The Flag), или тестировании на проникновение с явного разрешения. Использовать его против любой системы без предварительного письменного согласия владельца незаконно. Автор не несет ответственности за любое неправомерное использование этого кода.

Установка

Требуется Python 3 и модуль requests (установка через pip install requests).

Зависимости

• requests (pip install requests)
• colorama (pip install colorama)
• urllib3 (pip install urllib3)
• argparse (стандартная библиотека)

Лицензия

Лицензия MIT. См. файл LICENSE.

Вклад

Приветствуются pull request для улучшений, но они должны соответствовать образовательной направленности.