CVE-2026-52855
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wings, panel sterowania serwerem dla Pterodactyl, przed wersją 1.12.3 umożliwia użytkownikowi z niskimi uprawnieniami odczytanie poufnych danych konfiguracyjnych (token, token_id, rejestry Docker) poprzez użycie placeholderów {{config.}} w szablonach plików konfiguracyjnych.
Ocena ryzyka
Ujawnienie tokenów i danych uwierzytelniających może prowadzić do przejęcia kontroli nad demonem i serwerami gier.
Rekomendacja
Zaktualizuj Wings do wersji 1.12.3 lub nowszej.
Inne podatności w Wings
Zobacz wszystkie- CVE-2026-61617Wysokie
Wings (kontroler serwerów dla Pterodactyl) w wersjach do 1.13.2 włącznie nie egzekwuje limitu dyskowego serwera podczas transferu SFTP, co pozwala tenantowi z dostępem do zapisu SFTP na wyczerpanie fizycznego dysku węzła i zatrzymanie wszystkich serwerów na nim. Sprawdzanie dostępnego miejsca odbywa się tylko raz, przy otwarciu uchwytu, z użyciem nieaktualnej wartości i bez znajomości rozmiaru przesyłanych danych.
- CVE-2026-52856Wysokie
Wings, panel sterowania serwerem dla Pterodactyl, przed wersją 1.13.0 zawiera podatność na panikę Go spowodowaną przez nieprawidłowo sformatowany pakiet podczas uzgadniania połączenia SFTP. Problem został naprawiony w wersji 1.13.0.
- CVE-2026-52857Średnie
Wings, serwer kontrolny dla Pterodactyl, przed wersją 1.13.0 zawiera podatność polegającą na nieograniczonych parserach plików konfiguracyjnych JSON, YAML i XML. Pozwalają one na przetworzenie zbyt dużego pliku konfiguracyjnego, co prowadzi do wyczerpania pamięci procesu Wings.
Oryginalny opis (angielski, źródło NVD)
Wings is the server control plane for Pterodactyl, a free, open-source game server management panel. Prior to 1.12.3, {{config.}} placeholders in egg configuration-file templates allow a low-privileged user to read {{config.token}}, {{config.token_id}}, and {{config.docker.registries}} from the full daemon configuration. This issue is fixed in version 1.12.3.