JVNDB-2026-002538

PterodactylのWingsにおける複数の脆弱性

Wingsは、無料でオープンソースのゲームサーバ管理パネルであるPterodactylのサーバコントロールプレーンです。バージョン1.7.0から1.12.0未満の間、Wingsはアクティビティログエントリを処理する際にSQLiteの最大パラメータ制限を考慮しておらず、権限の低いユーザーがパネルをアクティビティレコードで氾濫させる状況を引き起こす可能性があります。Wingsはアクティビティログをパネルに送信した後、処理済みのアクティビティエントリをWingsのSQLiteデータベースから削除します。しかし、SQLite 3.32.0時点での最大パラメータ制限32766を考慮していません。もしWingsが一度のクエリで32766以上のエントリをSQLiteデータベースから削除しようとすると、エラー(SQLロジックエラー: SQL変数が多すぎます(1))が発生し、データベースからいかなるエントリも削除されません。これらのエントリはその後無期限に再処理され、cronが実行されるたびにパネルに再送されます。この脆弱性を悪用することで、攻撃者はWingsが同じアクティビティデータを繰り返しパネルにアップロードし続ける状況を引き起こし（毎回新しいアクティビティを含むように増大させ）、パネルのデータベースサーバのディスク容量が不足するまで継続させることが可能です。バージョン1.12.0で本問題は修正されています。

Pterodactyl

• Wings 1.7.0 以上 1.12.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Endless reprocessing/reupload of activity log data due to SQLite max parameters limit not being considered  Advisory  pterodactyl/wings  GitHub

1. リソースの枯渇(CWE-400) [その他]
2. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [NVD評価]

1. CVE-2026-21696

1. National Vulnerability Database (NVD) : CVE-2026-21696
2. 関連文書 : wings/internal/cron/sftp_cron.go at 9ffbcdcdb1163da823cf9959b9602df9f7dcb54a  pterodactyl/wings  GitHub
3. 関連文書 : wings/internal/cron/activity_cron.go at 9ffbcdcdb1163da823cf9959b9602df9f7dcb54a  pterodactyl/wings  GitHub

• [2026年02月04日]
    掲載