CVE-2025-68954
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Pterodactyl to darmowy panel zarządzania serwerami gier. Wersje 1.11.11 i niższe nie odwołują aktywnych połączeń SFTP, gdy użytkownik zostanie usunięty z instancji serwera lub gdy jego uprawnienia do dostępu do plików przez SFTP zostaną zmienione. Pozwala to użytkownikowi już połączonemu przez SFTP pozostać połączonym i uzyskiwać dostęp do plików nawet po cofnięciu uprawnień. Aby wykorzystać podatność, użytkownik musi być połączony z SFTP w momencie cofania uprawnień. Problem naprawiono w wersji 1.12.0.
Ocena ryzyka
Użytkownik, który utracił uprawnienia, może nadal uzyskiwać dostęp do plików serwera, co stanowi poważne naruszenie kontroli dostępu i może prowadzić do wycieku danych lub nieautoryzowanych zmian.
Rekomendacja
Zaktualizuj Pterodactyl do wersji 1.12.0 lub nowszej, aby naprawić podatność.
Inne podatności w Pterodactyl
Zobacz wszystkie- CVE-2026-61609Wysokie
Podatność w Pterodactyl powoduje globalne ograniczenie szybkości logowania (rate limiting) dla wszystkich użytkowników. Limit jest liczony globalnie, a nie na IP, co pozwala atakującemu zablokować logowanie wszystkim użytkownikom, wysyłając około 10 żądań na minutę.
- CVE-2026-54593Wysokie
Podatność w Pterodactyl umożliwia uwierzytelnionemu pod-użytkownikowi zapis dowolnych plików na serwerze bez wymaganych uprawnień. Token JWT wydany dla innych operacji (np. WebSocket) może być ponownie użyty do przesyłania plików.
- CVE-2026-35202Niskie
Podatność w Pterodactyl przed wersją 1.12.3. Błąd logiczny w API klienta pozwala użytkownikom na ominięcie limitów przydziału baz danych z powodu niesprawnego mechanizmu blokowania.
- CVE-2025-69197Średnie
Pterodactyl to darmowy panel do zarządzania serwerami gier. W wersjach 1.11.11 i starszych token TOTP może być użyty wielokrotnie w oknie ważności; po zalogowaniu token nie jest wystarczająco oznaczany jako użyty, co pozwala atakującemu, który przechwycił token (np. podczas udostępniania ekranu), na jego ponowne użycie w ciągu 60 sekund wraz ze znanym loginem i hasłem. Problem naprawiono w wersji 1.12.0.
Oryginalny opis (angielski, źródło NVD)
Pterodactyl is a free, open-source game server management panel. Versions 1.11.11 and below do not revoke active SFTP connections when a user is removed from a server instance or has their permissions changes with respect to file access over SFTP. This allows a user that was already connected to SFTP to remain connected and access files even after their permissions are revoked. A user must have been connected to SFTP at the time of their permissions being revoked in order for this vulnerability to be exploited. This issue is fixed in version 1.12.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS