CVE-2026-50979: تنفيذ التعليمات البرمجية عن بُعد بعد المصادقة في oPanel

نظرة عامة

• معرّف CVE: CVE-2026-50979
• المنتج: oPanel
• الإصدارات المتأثرة: v1.19.50 وما قبلها
• نوع الثغرة: حقن أوامر بعد المصادقة / تنفيذ التعليمات البرمجية عن بُعد (RCE)
• المكوّن المعرض للخطر: نقطة النهاية /advanced/curl
• الخطورة: حرجة

الوصف

توجد ثغرة حقن أوامر في نقطة النهاية advanced/curl الخاصة بـ oPanel (الإصدارات v1.19.50 وما قبلها). لا يقوم التطبيق بتعقيم المدخلات المقدمة من المستخدم لمعامل url بشكل كافٍ قبل تمريرها إلى روتين تنفيذ curl الأساسي في النظام.

يمكن لمهاجم مصادق تجاوز قيود المسافات الأساسية باستخدام متغيرات الصدفة (مثل ${IFS}) وحقن أوامر نظام تشغيل اعتباطية (على سبيل المثال، باستخدام العامل ;). وهذا يسمح للمهاجم بتنفيذ تعليمات برمجية اعتباطية على الخادم الأساسي بصلاحيات تطبيق الويب.

التأثير

يتيح الاستغلال الناجح لمستخدم مصادق تنفيذ أوامر صدَفة اعتباطية على الخادم الذي يستضيف oPanel. ويمكن أن يؤدي ذلك إلى اختراق كامل للنظام، والوصول غير المصرح به إلى البيانات، ومزيد من الحركة الجانبية داخل الشبكة.

إثبات المفهوم (PoC)

يتم تفعيل الثغرة عن طريق إرسال طلب HTTP POST مصمم بعناية إلى نقطة النهاية المعرضة للخطر بعد نجاح المصادقة.

نقطة النهاية المعرضة للخطر: POST /advanced/curl (يتم الوصول إليها عادةً عبر المنفذ 2083)

بنية الحمولة الخبيثة:

POST /advanced/curl HTTP/1.1
Host: <target_ip>:2083
Content-Type: application/x-www-form-urlencoded
Cookie: <valid_authentication_cookies>

url=[http://example.com/;id](http://example.com/;id)