CVE-2025-49132

Pterodactyl 是一个免费、开源的游戏服务器管理面板。在 1.11.11 版本之前，通过使用 /locales/locale.json 并携带 locale 和 namespace 查询参数，恶意行为者可以在未经身份验证的情况下执行任意代码。由于能够执行任意代码，攻击者可借此访问面板服务器、读取面板配置中的凭据、从数据库中提取敏感信息、访问面板所管理服务器的文件等。该问题已在 1.11.11 版本中修复。此漏洞没有软件层面的缓解措施，但使用外部 Web 应用防火墙（WAF）可能有助于减轻该攻击。

它是如何工作的

攻击者向 /locales/locale.json 发送一个 GET 请求，如果响应返回 JSON，并且 URL 中不包含 hash= 参数，那么它就容易受到 CVE-2025-49132 的攻击。

要利用该漏洞，你必须同时使用 locale= 和 namespace= 参数来读取 仅限 PHP 文件，你将收到一个 JSON 响应，其中包含所选 PHP 文件中存储的变量。

例如：/locales/locale.json?locale=../../../pterodactyl&namespace=config/database

要找到更多有趣的 PHP 文件来读取，你可以查看官方的 Pterodactyl 仓库 ^^

如何使用该脚本

使用以下命令获取数据库凭据：python3 CVE-2025-49132_PoC.py <url>

如何通过 CVE-2025-49132 以管理员身份访问 Pterodactyl 面板

1. 获取数据库凭据
2. 找到一种使用你所发现的凭据与他们的数据库建立连接的方法（端口 3306 开放、本地 phpmyadmin，或直接使用 phpmyadmin.co）
3. 如果你成功访问了数据库，恭喜！你只需在 users 表中为自己创建一个 Pterodactyl 账户
4. 使用你创建的账户连接到面板
5. 现在你已以管理员身份连接到面板，可以访问一切内容 :)

此时，你应该具备基本的渗透测试知识，以便知道如何获取反向 shell。