CVE-2026-26016

إصدارات Pterodactyl Panel الأقدم من 1.12.1

يؤدي عدم وجود عملية التحقق من التفويض إلى السماح لأي مستخدم لديه وصول إلى رمز سرّي للعقدة باسترداد معلومات عن أي خادم في مثيل Pterodactyl، حتى لو كان هذا الخادم مرتبطًا بعقدة مختلفة. تنجم هذه المشكلة عن عدم وجود منطق للتحقق مما إذا كانت العقدة التي تطلب بيانات الخادم هي نفس العقدة المرتبطة بالخادم. يمكن لعقد Wings المصادق عليها استرداد نصوص برمجية تثبيت الخوادم (التي قد تحتوي على قيم سرية) والتلاعب بحالة تثبيت الخوادم التابعة لعقد أخرى. كما يمكن لعقد Wings التلاعب بحالة نقل الخوادم التابعة لعقد أخرى. تسترد نقطة نهاية واجهة برمجة التطبيقات (API) البعيدة /api/remote/servers/{uuid} خادمًا باستخدام معرّف UUID وتُرجع تكوينه الكامل دون التحقق مما إذا كانت العقدة التي قدمت الطلب هي مالك الخادم. تسترد الطريقتان failure() وsuccess() في ServerTransferController الخوادم باستخدام معرّف UUID دون التحقق من ملكية العقدة. ويسمح غياب عمليات التحقق من التفويض في ServerInstallController لأي عقدة Wings تمت مصادقتها باسترداد نصوص برمجية تثبيت «eggs» (التي تحتوي على أسرار النشر) والتحكم في حالة تثبيت الخوادم التابعة لعقد أخرى. ويمنح الرمز المميز المخترق الخاص ببرنامج الخدمة (daemon) الخاص بعقدة Wings حق الوصول إلى بيانات التكوين الحساسة لجميع الخوادم