CVE-2025-49132

إصدارات Pterodactyl الأقدم من 1.11.11

يمكن لمهاجم غير مصدق تنفيذه تعليمات برمجية تعسفية باستخدام نقطة النهاية ’/locales/locale.json‘ مع معلمات الاستعلام locale وnamespace. تسمح هذه الثغرة باختراق الخادم بالكامل، بما في ذلك الوصول إلى خادم لوحة التحكم، وقراءة بيانات الاعتماد من ملفات التكوين (مثل ملف .env)، واستخراج معلومات حساسة من قاعدة البيانات (بما في ذلك أسماء المستخدمين، وعناوين البريد الإلكتروني، وكلمات المرور المشفرة)، والوصول إلى ملفات الخوادم التي تديرها لوحة التحكم. وقد حاول باحثو الأمن والجهات الخبيثة استغلال هذه الثغرة عقب الإعلان عنها.

قم بالتحديث إلى الإصدار 1.11.11.

بالنسبة للتثبيتات المعدلة التي تستخدم Git، قم بتطبيق التصحيح الرسمي باستخدام git apply.

كإجراء تخفيفي مؤقت، استخدم جدار حماية تطبيقات الويب (WAF) الخارجي لحجب الهجوم.

قم بتقييد الوصول إلى نقطة النهاية ’/locales/locale.json‘ على مستوى خادم الويب، على الرغم من أن هذا سيؤدي إلى تعطيل ميزات الترجمة.