文章总结： 青龙面板v2.20.1存在高危权限绕过漏洞，因路由解析大小写不敏感且鉴权配置缺陷，攻击者利用路径变形如/Api/可绕过验证调用系统命令执行接口，导致服务器被控。目前已有野外利用，建议用户立即关闭公网映射，排查恶意进程与挖矿程序，严防风险。 综合评分： 89 文章分类： 漏洞预警,漏洞分析,漏洞POC,解决方案

【漏洞预警】青龙面板正式版v2.20.1存在权限绕过漏洞

松杨网络安全资料库

2026年3月2日 16:36 广东

青龙面板最新版中，由于路由解析对大小写不敏感且鉴权存在缺陷，攻击者可利用路径大小写变形（如将/api/写为 /Api/）绕过权限验证。一旦命中实际存在的 /API/system/command-run 接口，即可无需任何凭证执行系统命令，造成严重安全风险。

该漏洞利用难度低，无任何前置条件，可导致服务器被完全控制、数据泄露、植入挖矿程序等严重后果。目前已有野外利用捕获，请相关用户立即处置。

漏洞版本

v2.20.1

漏洞等级

高危

漏洞细节

1.触发点：/api/system/command-run 接口。

2.绕过方式：将路径中的/api/ 替换为/Api/、/API/ 等大小写变体。

3.根本原因：

（1）鉴权中间件配置为仅对以小写/api/开头的路径进行权限校验。

（2）Express 路由默认大小写不敏感，因此 /API/... 仍能匹配到实际路由。

（3）利用此差异绕过 startsWith('/api/') 校验，直接调用敏感接口。

漏洞复现

poc：

curl -X PUT "http://127.0.0.1:5700/aPi/system/command-run" -H "Content-Type: application/json" -d "{\"command\": \"id\"}"

临时修复建议

1.关闭公网映射：关闭映射到外网的5700端口或自定义的端口，仅允许内网或可信IP访问。

2.检查并清理恶意文件：检查系统进程和定时任务，排查是否存在异常进程或挖矿程序（如 .fullgc）。同时检查 config.sh 文件，查看是否有被插入恶意代码的痕迹。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：松杨网络安全资料库 《【漏洞预警】青龙面板正式版v2.20.1存在权限绕过漏洞》