🇰🇷 한글 설명
Pterodactyl 게임 서버 관리 패널에서 악성 Egg를 가져오거나 Wings 인스턴스에 접근할 경우 교차 사이트 스크립팅(XSS)이 발생할 수 있습니다. 이를 통해 공격자가 관리자 계정 권한을 탈취할 위험이 있으며, Egg의 Docker 이미지 및 변수 설정 필드 등이 영향을 받습니다.
💡 쉬운 설명
관리자가 악성 설정 파일을 불러올 때, 숨겨진 악성 코드가 실행되어 관리자 권한을 뺏길 수 있는 보안 취약점입니다. 패널의 특정 입력창에 코드가 삽입되어 관리자의 브라우저에서 실행되는 방식입니다.
🇺🇸 원문 (English)
Pterodactyl is a free, open-source game server management panel built with PHP, React, and Go. Importing a malicious egg or gaining access to wings instance could lead to cross site scripting (XSS) on the panel, which could be used to gain an administrator account on the panel. Specifically, the following things are impacted: Egg Docker images and Egg variables: Name, Environment variable, Default value, Description, Validation rules. Additionally, certain fields would reflect malicious input, but it would require the user knowingly entering such input to have an impact. To iterate, this would require an administrator to perform actions and can't be triggered by a normal panel user. This issue has has been addressed in version 1.11.6 and users are advised to upgrade. No workaround is available other than updating to the latest version of the panel.
📍 영향받는 시스템
Pterodactyl Panel (1.11.6 미만 버전)
⚔️ 공격 벡터
악성 Egg 파일 임포트 또는 Wings 인스턴스 접근을 통한 관리자 대상 XSS 공격
🛡️ 대응 방법
Pterodactyl 패널을 최신 버전인 1.11.6 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.11.6 미만인지 확인하여 취약 여부를 판단합니다.