CVE-2026-35202

Podatność w Pterodactyl powoduje globalne ograniczenie szybkości logowania (rate limiting) dla wszystkich użytkowników. Limit jest liczony globalnie, a nie na IP, co pozwala atakującemu zablokować logowanie wszystkim użytkownikom, wysyłając około 10 żądań na minutę.

Podatność w Pterodactyl umożliwia uwierzytelnionemu pod-użytkownikowi zapis dowolnych plików na serwerze bez wymaganych uprawnień. Token JWT wydany dla innych operacji (np. WebSocket) może być ponownie użyty do przesyłania plików.

Pterodactyl to darmowy panel do zarządzania serwerami gier. W wersjach 1.11.11 i starszych token TOTP może być użyty wielokrotnie w oknie ważności; po zalogowaniu token nie jest wystarczająco oznaczany jako użyty, co pozwala atakującemu, który przechwycił token (np. podczas udostępniania ekranu), na jego ponowne użycie w ciągu 60 sekund wraz ze znanym loginem i hasłem. Problem naprawiono w wersji 1.12.0.

Pterodactyl to darmowy panel zarządzania serwerami gier. Wersje 1.11.11 i niższe nie odwołują aktywnych połączeń SFTP, gdy użytkownik zostanie usunięty z instancji serwera lub gdy jego uprawnienia do dostępu do plików przez SFTP zostaną zmienione. Pozwala to użytkownikowi już połączonemu przez SFTP pozostać połączonym i uzyskiwać dostęp do plików nawet po cofnięciu uprawnień. Aby wykorzystać podatność, użytkownik musi być połączony z SFTP w momencie cofania uprawnień. Problem naprawiono w wersji 1.12.0.