CVE-2026-50979：oPanel 中经过身份验证的远程代码执行

概述

• CVE ID： CVE-2026-50979
• 产品： oPanel
• 受影响版本： v1.19.50 及更早版本
• 漏洞类型： 经过身份验证的命令注入 / 远程代码执行（RCE）
• 易受攻击的组件： /advanced/curl 端点
• 严重性： 严重

描述

oPanel（v1.19.50 及更早版本）的 advanced/curl 端点存在命令注入漏洞。应用程序在将用户提供的 url 参数传递给系统底层的 curl 执行例程之前，未能对其进行充分的清理（sanitize）。

经过身份验证的攻击者可以使用 shell 变量（例如 ${IFS}）绕过基本的空格限制，并注入任意操作系统命令（例如使用 ; 运算符）。这将允许攻击者以 Web 应用程序的权限在底层服务器上执行任意代码。

影响

成功利用该漏洞可允许经过身份验证的用户在托管 oPanel 的服务器上执行任意 shell 命令。这可能导致系统完全沦陷、未经授权的数据访问以及网络内的进一步横向移动。

概念验证（PoC）

该漏洞通过在成功身份验证后向易受攻击的端点发送精心构造的 HTTP POST 请求来触发。

易受攻击的端点： POST /advanced/curl （通常通过 2083 端口访问）

恶意载荷结构：

POST /advanced/curl HTTP/1.1
Host: <target_ip>:2083
Content-Type: application/x-www-form-urlencoded
Cookie: <valid_authentication_cookies>

url=[http://example.com/;id](http://example.com/;id)