bugresearch/cve-2026-50979oPanel Authenticated Remote Code Execution über die 'advenced/curl'-Komponente
/advanced/curl-EndpunktIm Endpunkt advanced/curl von oPanel (Versionen v1.19.50 und früher) besteht eine Befehlsinjektions-Schwachstelle. Die Anwendung säubert die vom Benutzer bereitgestellte Eingabe des Parameters url nicht ausreichend, bevor sie an die systeminterne curl-Ausführungsroutine übergeben wird.
Ein authentifizierter Angreifer kann mit Shell-Variablen (wie ${IFS}) grundlegende Leerzeichen-Beschränkungen umgehen und beliebige Betriebssystembefehle (z. B. mit dem Operator ) einschleusen. Dadurch kann der Angreifer beliebigen Code auf dem zugrundeliegenden Server mit den Berechtigungen der Webanwendung ausführen.
;Eine erfolgreiche Ausnutzung ermöglicht es einem authentifizierten Benutzer, beliebige Shell-Befehle auf dem Server auszuführen, der oPanel hostet. Dies kann zur vollständigen Kompromittierung des Systems, unbefugtem Datenzugriff und weiterer lateraler Bewegung innerhalb des Netzwerks führen.
Die Schwachstelle wird ausgelöst, indem nach erfolgreicher Authentifizierung eine manipulierte HTTP-POST-Anfrage an den verwundbaren Endpunkt gesendet wird.
Verwundbarer Endpunkt:
POST /advanced/curl (üblicherweise über Port 2083 erreichbar)
Struktur der bösartigen Payload:
POST /advanced/curl HTTP/1.1
Host: <target_ip>:2083
Content-Type: application/x-www-form-urlencoded
Cookie: <valid_authentication_cookies>
url=[http://example.com/;id](http://example.com/;id)