CVE-2026-50979: Аутентифицированное удаленное выполнение кода в oPanel

Обзор

• CVE ID: CVE-2026-50979
• Продукт: oPanel
• Затрагиваемые версии: v1.19.50 и более ранние
• Тип уязвимости: Аутентифицированное внедрение команд / Удаленное выполнение кода (RCE)
• Уязвимый компонент: конечная точка /advanced/curl
• Серьезность: Критическая

Описание

Уязвимость внедрения команд существует в конечной точке advanced/curl oPanel (версии v1.19.50 и более ранние). Приложение не выполняет адекватную санитизацию пользовательского ввода, передаваемого в параметр url, перед передачей его в базовую процедуру выполнения curl системы.

Аутентифицированный злоумышленник может обойти основные ограничения по пробелам, используя переменные оболочки (например, ${IFS}), и внедрить произвольные команды операционной системы (например, с помощью оператора ;). Это позволяет злоумышленнику выполнять произвольный код на целевом сервере с привилегиями веб-приложения.

Воздействие

Успешная эксплуатация позволяет аутентифицированному пользователю выполнять произвольные команды оболочки на сервере, размещающем oPanel. Это может привести к полной компрометации системы, несанкционированному доступу к данным и дальнейшему боковому перемещению внутри сети.

Доказательство концепции (PoC)

Уязвимость срабатывает при отправке специально созданного HTTP POST-запроса к уязвимой конечной точке после успешной аутентификации.

Уязвимая конечная точка: POST /advanced/curl (обычно доступен через порт 2083)

Структура вредоносной нагрузки:

POST /advanced/curl HTTP/1.1
Host: <target_ip>:2083
Content-Type: application/x-www-form-urlencoded
Cookie: <valid_authentication_cookies>

url=[http://example.com/;id](http://example.com/;id)