Vulnerabilidad en panel de pterodactyl (CVE-2025-69198)

Gravedad CVSS v4.0:

MEDIA

Tipo:

CWE-400 Consumo de recursos no controlado (Agotamiento de recursos)

Fecha de publicación:

19/01/2026

Última modificación:

02/02/2026

Descripción

Pterodactyl es un panel de gestión de servidores de juegos gratuito y de código abierto. Pterodactyl implementa límites de tasa que se aplican al número total de recursos (p. ej., bases de datos, asignaciones de puertos o copias de seguridad) que pueden existir para un servidor individual. Estos límites de recursos se aplican por servidor y se validan durante el ciclo de solicitud. Sin embargo, en versiones anteriores a la 1.12.0, es posible que un usuario malintencionado envíe un volumen masivo de solicitudes al mismo tiempo que crearía más recursos de los asignados al servidor. Esto se debe a que la validación ocurre temprano en el ciclo de solicitud y no bloquea el recurso objetivo mientras se está procesando. Como resultado, enviar un gran volumen de solicitudes al mismo tiempo haría que todas esas solicitudes se validaran como que no utilizan ninguno de los recursos objetivo, y luego todas crearían los recursos al mismo tiempo. Como resultado, un servidor podría crear más bases de datos, asignaciones o copias de seguridad de las configuradas. Un usuario malintencionado puede denegar recursos a otros usuarios en el sistema y puede consumir excesivamente las asignaciones limitadas para un nodo, o llenar el espacio de copia de seguridad más rápido de lo permitido por el sistema. La versión 1.12.0 corrige el problema.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:L CVSS v4.0 Severidad y Métricas:

Puntuación base: 6.00 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Ninguno
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Bajo

Puntuación base 4.0

6.00

Gravedad 4.0

MEDIA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto