CVE-2026-50979: Esecuzione Remota di Codice Autenticata in oPanel

Panoramica

• ID CVE: CVE-2026-50979
• Prodotto: oPanel
• Versioni Affette: v1.19.50 e precedenti
• Tipo di Vulnerabilità: Iniezione di Comandi Autenticata / Esecuzione Remota di Codice (RCE)
• Componente Vulnerabile: Endpoint /advanced/curl
• Gravità: Critica

Descrizione

Esiste una vulnerabilità di iniezione di comandi nell'endpoint advanced/curl di oPanel (versioni v1.19.50 e precedenti). L'applicazione non riesce a sanificare adeguatamente l'input fornito dall'utente al parametro url prima di passarlo alla routine di esecuzione curl sottostante del sistema.

Un utente malintenzionato autenticato può aggirare le restrizioni di base sugli spazi utilizzando variabili di shell (come ${IFS}) e iniettare comandi arbitrari del sistema operativo (ad esempio, utilizzando l'operatore ;). Ciò consente all'aggressore di eseguire codice arbitrario sul server sottostante con i privilegi dell'applicazione web.

Impatto

Uno sfruttamento riuscito consente a un utente autenticato di eseguire comandi shell arbitrari sul server che ospita oPanel. Ciò può portare al compromesso completo del sistema, all'accesso non autorizzato ai dati e a un ulteriore movimento laterale all'interno della rete.

Proof of Concept (PoC)

La vulnerabilità viene attivata inviando una richiesta HTTP POST appositamente predisposta all'endpoint vulnerabile dopo l'autenticazione riuscita.

Endpoint Vulnerabile: POST /advanced/curl (tipicamente accessibile sulla porta 2083)

Struttura del Payload Malevolo:

POST /advanced/curl HTTP/1.1
Host: <target_ip>:2083
Content-Type: application/x-www-form-urlencoded
Cookie: <valid_authentication_cookies>

url=[http://example.com/;id](http://example.com/;id)