CVE-2026-52857
ŚrednieCVSS 5.5Streszczenie
Wings, serwer kontrolny dla Pterodactyl, przed wersją 1.13.0 zawiera podatność polegającą na nieograniczonych parserach plików konfiguracyjnych JSON, YAML i XML. Pozwalają one na przetworzenie zbyt dużego pliku konfiguracyjnego, co prowadzi do wyczerpania pamięci procesu Wings.
Ocena ryzyka
Atakujący może spowodować awarię usługi Wings poprzez wysłanie złośliwego pliku konfiguracyjnego, co prowadzi do odmowy usługi (DoS).
Rekomendacja
Należy zaktualizować Wings do wersji 1.13.0 lub nowszej, która zawiera poprawkę ograniczającą rozmiar przetwarzanych plików konfiguracyjnych.
Inne podatności w Wings
Zobacz wszystkie- CVE-2026-52855Krytyczne
Wings, panel sterowania serwerem dla Pterodactyl, przed wersją 1.12.3 umożliwia użytkownikowi z niskimi uprawnieniami odczytanie poufnych danych konfiguracyjnych (token, token_id, rejestry Docker) poprzez użycie placeholderów {{config.}} w szablonach plików konfiguracyjnych.
- CVE-2026-61617Wysokie
Wings (kontroler serwerów dla Pterodactyl) w wersjach do 1.13.2 włącznie nie egzekwuje limitu dyskowego serwera podczas transferu SFTP, co pozwala tenantowi z dostępem do zapisu SFTP na wyczerpanie fizycznego dysku węzła i zatrzymanie wszystkich serwerów na nim. Sprawdzanie dostępnego miejsca odbywa się tylko raz, przy otwarciu uchwytu, z użyciem nieaktualnej wartości i bez znajomości rozmiaru przesyłanych danych.
- CVE-2026-52856Wysokie
Wings, panel sterowania serwerem dla Pterodactyl, przed wersją 1.13.0 zawiera podatność na panikę Go spowodowaną przez nieprawidłowo sformatowany pakiet podczas uzgadniania połączenia SFTP. Problem został naprawiony w wersji 1.13.0.
Oryginalny opis (angielski, źródło NVD)
Wings is the server control plane for Pterodactyl, a free, open-source game server management panel. Prior to 1.13.0, unbounded json, yaml, and xml configuration-file parsers in parser.go can process an oversized non-file parser configuration file and exhaust Wings process memory. This issue is fixed in version 1.13.0.