PT-2024-25677 · Pterodactyl · Pterodactyl Wings

Trixterthetux · Publicado 2024-05-03 · Atualizado 2025-02-21 · CVE-2024-34066

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.4

Alta

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Pterodactyl Wings anteriores à 1.11.12

Descrição

A vulnerabilidade permite que um invasor obtenha acesso arbitrário de leitura e gravação de arquivos em um nó caso o token do Wings seja divulgado, seja ao visualizar a configuração do nó ou ao publicá-la acidentalmente em algum lugar.

Recomendações

Para versões anteriores à 1.11.12, atualize para a versão 1.11.12 para resolver o problema.

Como solução alternativa temporária para usuários que não possam atualizar, habilite a opção ignore panel config updates.

Exploit

Correção

Files Accessible to External Parties

Enumeração de Fraquezas

CWE-552

Identificadores relacionados

CVE-2024-34066

GHSA-GQMF-JQGV-V8FW

GO-2024-2814

Produtos afetados

Pterodactyl Wings

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/34xxx/CVE-2024-34066.json · Exploit
• https://github.com/pterodactyl/wings · Nota
• https://github.com/pterodactyl/wings/security/advisories/GHSA-gqmf-jqgv-v8fw · Aviso do Fabricante
• https://github.com/pterodactyl/wings/commit/5415f8ae07f533623bd8169836dd7e0b933964de · Correção
• https://twitter.com/VulmonFeeds/status/1786494672551993619 · Publicação no Twitter
• https://t.me/cvenotify/112015 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-gqmf-jqgv-v8fw · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2024-2814 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-34066 · Nota de Segurança
• https://twitter.com/CVEnew/status/1786770952115617838 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-34066 · Aviso do Fabricante