bugresearch/cve-2026-50979oPanel Exécution de code à distance authentifiée via le composant 'advenced/curl'
/advanced/curlUne vulnérabilité d'injection de commandes existe dans le point d'accès advanced/curl d'oPanel (versions v1.19.50 et antérieures). L'application ne parvient pas à assainir correctement les entrées fournies par l'utilisateur dans le paramètre url avant de les transmettre à la routine d'exécution curl sous-jacente du système.
Un attaquant authentifié peut contourner les restrictions de base sur les espaces à l'aide de variables shell (telles que ${IFS}) et injecter des commandes arbitraires du système d'exploitation (par exemple, en utilisant l'opérateur ;). Cela permet à l'attaquant d'exécuter du code arbitraire sur le serveur sous-jacent avec les privilèges de l'application web.
L'exploitation réussie permet à un utilisateur authentifié d'exécuter des commandes shell arbitraires sur le serveur hébergeant oPanel. Cela peut entraîner une compromission complète du système, un accès non autorisé aux données et un mouvement latéral supplémentaire au sein du réseau.
La vulnérabilité est déclenchée en envoyant une requête HTTP POST spécialement conçue au point d'accès vulnérable après une authentification réussie.
Point d'accès vulnérable :
POST /advanced/curl (généralement accessible via le port 2083)
Structure de la charge malveillante :
POST /advanced/curl HTTP/1.1
Host: <target_ip>:2083
Content-Type: application/x-www-form-urlencoded
Cookie: <valid_authentication_cookies>
url=[http://example.com/;id](http://example.com/;id)