JVNDB-2026-004519

PterodactylのPanelにおける複数の脆弱性

Wingsは、Pterodactylのサーバーコントロールプレーンであり、無料でオープンソースのゲームサーバー管理パネルです。バージョン1.12.1より前では、複数のコントローラーにおける認証チェックの欠如により、ノードのシークレットトークンにアクセスできる任意のユーザーが、たとえそのサーバーが別のノードに関連付けられていても、Pterodactylインスタンス上の任意のサーバーの情報を取得することが可能でした。この問題は、サーバーデータを要求しているノードがそのサーバーに関連するノードと同じであるかを検証するロジックが欠如していることに起因しています。認証された任意のWingsノードは、他のノードに所属するサーバーのインストールスクリプト（秘密の値を含む可能性があります）を取得したり、サーバーのインストール状態を操作したりすることができます。さらに、Wingsノードは他のノードに所属するサーバーの転送状態を操作することも可能です。この脆弱性を悪用するには、ユーザーがノードのシークレットアクセストークンを入手する必要があります。有効なノードアクセストークンが必要なため、Wingsのシークレットアクセストークンにアクセスしない限り、これらの脆弱なエンドポイントにアクセスすることはできません。単一のWingsノードデーモントークン（`/etc/pterodactyl/config.yml`に平文で保存されている）が流出すると、そのノードがアクセス権を持つサーバーだけでなく、パネル上のすべてのサーバーの機密構成データにアクセスできるようになります。攻撃者はこの情報を用いてシステム内を横断的に移動したり、多数の通知を送信したり、他のノードのサーバーデータを破壊したり、ノードトークンのみでアクセスしてはならない秘密情報を漏洩させたりする可能性があります。さらに、誤った転送成功を引き起こすと、パネルは元のノードからサーバーを削除して恒久的なデータ損失を招く恐れがあります。ユーザーは修正を適用するためにバージョン1.12.1にアップグレードすべきです。

Pterodactyl

• Panel 1.12.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Cross-Node Server Configuration Disclosure via Remote API Missing Authorization  Advisory  pterodactyl/panel  GitHub

1. 未検証の所有権(CWE-283) [その他]
2. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-26016

1. National Vulnerability Database (NVD) : CVE-2026-26016
2. 関連文書 : Release v1.12.1  pterodactyl/panel  GitHub

• [2026年02月24日]
    掲載