文章总结： 本文披露了青龙面板存在的高危鉴权绕过漏洞，起因是系统仅拦截小写路径而框架对大小写不敏感，攻击者只需将请求路径改为大写即可绕过认证执行命令。该漏洞无需登录即可利用，危害严重。文章提供了升级版本、Nginx层加固及代码修复等具体方案，建议受影响用户立即排查并修复。 综合评分： 76 文章分类： 漏洞预警,WEB安全,漏洞分析,解决方案,应急响应

紧急预警：青龙面板严重漏洞，一行命令即可接管服务器！

原创

宝十八 宝十八

网络安全老宋

2026年3月6日 09:01 山东

导语： 你好，我是老宋。关注我，安全攻防干货第一时间送达！

一个严重的鉴权绕过漏洞，原因很想笑，建议先收藏再点赞

漏洞等级：🔴 严重 (Critical)影响版本：Qinglong Panel 2.20.1 及部分旧版本利用难度：🟢 极低 (无需登录，无需认证)

近日，安全研究人员发现流行的定时任务管理面板——青龙面板 (Qinglong Panel) 存在一个严重的鉴权绕过漏洞。

攻击者无需任何账号密码，只需在访问链接中玩一个“大小写游戏”，就能绕过系统的安全检查，直接执行服务器上的任意命令。这意味着，你的服务器可能在毫无察觉的情况下被完全控制。

一、漏洞原理（简单版）

青龙面板原本设定：访问 /api/ 开头的接口必须验证身份（Token）。

但是，由于代码逻辑疏忽：

1. 系统严格区分大小写检查路径（只拦截小写 /api/）。
2. 但底层框架（Express）对路由大小写不敏感（大写 /API/ 也能通向后端接口）😂。

结果： 攻击者将链接中的 /api/ 改为 /API/（就是这么简单🤦🏻‍♀️），系统误以为是不需要验证的普通路径，直接放行，从而让攻击者长驱直入。

二、危害有多大呢？

一旦漏洞被利用，攻击者可以：

• ✅ 执行任意命令：查看服务器信息、安装恶意软件。
• ✅ 窃取敏感数据：读取配置文件、数据库密码、密钥。
• ✅ 完全接管服务器：植入挖矿程序、发起内网攻击或勒索病毒。

复现示例（仅供技术理解，严禁非法使用）：正常请求会被拦截，但将 api 改为大写 API 后：

curl -X PUT "http://目标IP:5700/API/system/command-run" \
  -H "Content-Type: application/json" \
  -d '{"command": "whoami"}'

系统将直接返回当前用户权限（通常是 root），导致服务器沦陷。

三、如何防御与修复？

使用青龙面板的管理员建议立即采取以下措施：

1. 官方升级（推荐）密切关注青龙面板官方仓库，尽快升级到修复了该漏洞的最新版本。

2. 临时加固方案如果暂时无法升级，建议在反向代理（如 Nginx）层强制统一路径大小写，或直接禁止外部访问敏感接口：

• Nginx 配置示例：强制将所有 URI 转换为小写，或在防火墙层面限制 /api/ 相关接口的访问来源。
• 代码层修复思路（供开发者参考）：将鉴权逻辑中的路径匹配改为不区分大小写的正则匹配。

  // 错误写法
  if (!req.path.startsWith('/api/')) { ... }

  // 正确写法 (忽略大小写)
  if (!/^\/api\//i.test(req.path)) { ... }

四、特别提醒

• 自查： 检查您的服务器是否暴露在公网，且运行的是受影响版本。
• 日志审计： 检查服务器日志，查看是否有异常的 /API/ 或混合大小写的访问记录。
• 合规使用： 本文仅用于安全技术交流与防御加固，严禁利用该漏洞进行非法攻击。

那么，你自己使用青龙面板了吗？是薅羊毛吗？(#^.^#)

🐰：我也是赶了个晚集☺️

往期精彩

开机自动显示电脑IP地址？这个小技巧让桌面“开口说话”！

多地爆发 “银狐” 病毒，办公场景成重灾区，这些防范要点必看

红队视角下的暴露面攻防：如何从一个弱点撕开企业防线？

实战视角下的云平台安全：从攻击路径到防御体系的全景解析

混合云攻防实战：当红队盯上你的云管平台

终端攻防全链路解析：红队如何从一台电脑拿下整个内网？

数据安全全生命周期管理技战法精要

三行神秘命令，一键优化 Windows？真相在这里！

如果你感觉有用，帮忙点个免费的关注转发，你的支持是我更新的动力

关注我的人，顺风顺水顺财神，朝朝暮暮有人疼！无一例外！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网络安全老宋 宝十八 宝十八《紧急预警：青龙面板严重漏洞，一行命令即可接管服务器！》