文章总结： 哪吒监控面板（Nezha）曝出CVE-2026-53519极高危路径穿越漏洞，CVSS评分9.1。攻击者无需认证即可通过两次GET请求读取配置文件并伪造JWT令牌，直接获取管理员权限接管面板。影响v2.0.13之前所有版本，建议立即升级至安全版本、避免公网直接暴露并重置敏感信息。 综合评分： 85 文章分类： 漏洞分析,漏洞预警,安全建设,解决方案,WEB安全

【安全圈】紧急预警！哪吒监控面板曝 9.1 分高危漏洞，仅需 2 次请求即可免密接管！

安全圈

2026年6月17日 14:00 江苏

在小说阅读器读本章

去阅读

关键词

漏洞

导语： 各位站长、运维和 VPS 玩家们注意了！如果你正在使用开源服务监控面板 “哪吒监控（Nezha）”，请立刻、马上检查你的面板版本！ 日前，安全研究人员公开了一个针对哪吒面板的极高危漏洞（CVE-2026-53519）。攻击者无需任何密码，仅需发送 2 次简单的 GET 请求，就能直接接管你的整个监控面板！目前相关攻击正在迅速增加，请务必重视！

💥 一、漏洞概述：9.1分极高危

• 漏洞编号：CVE-2026-53519
• 漏洞类型：未经授权的路径穿越（Path Traversal）
• CVSS 严重性评分：9.1 / 10（极高危）
• 修复版本：v2.0.13（已于 2026年5月25日 发布）

该漏洞允许攻击者在完全不需要身份认证的情况下，通过构造特殊的 URL 读取服务器上的任意文件。这意味着你的服务器在黑客面前几乎是“裸奔”状态。

🕵️‍♂️ 二、攻击原理：2次请求如何“白嫖”管理员权限？

这个漏洞最可怕的地方在于其极低的攻击门槛和极高的成功率。整个过程不需要用户进行任何交互，攻击链路如下：

1. 第一次请求（窃取核心机密）：

   攻击者利用路径穿越漏洞，直接读取哪吒面板的核心配置文件。借此，攻击者可以获取：完整数据库信息、管理员账号、哈希密码、服务器列表以及 OAuth2 凭证。

2. 第二次请求（伪造身份登顶）：

   虽然管理员密码是哈希加密的，但攻击者能从配置文件中提取出 JWT 密钥。利用对称密钥算法（HS256），攻击者可以直接伪造管理员的 Cookie。

3. 成功接管：

   只需知道管理员 ID，配合伪造的 Cookie，攻击者即可免密登录，瞬间获得最高管理员权限，彻底接管面板及下辖的所有监控节点！

⚠️ 划重点：不需要爆破密码，不需要钓鱼，仅仅 2 次 GET 请求，你的面板就易主了。

⚠️ 三、影响范围：看看你中招没？

• 受影响版本：v2.0.13 之前的所有版本。
• 安全版本：v2.0.13 及后续更新版本。

虽然官方早在 5 月 25 日就发布了修复版本，在漏洞未公开前升级的用户可以免疫此攻击。但由于很多用户没有开启自动更新或未及时关注官方动态，目前仍有大量面板暴露在风险之中。随着漏洞细节的公开，互联网上的自动化扫描和攻击正在呈指数级上升！

🛡️ 四、紧急修复与防护建议（必看）

为了您的服务器和数据安全，请立即采取以下措施：

1. 🚀 立即升级至最新版本（最优先）

• 登录你的哪吒面板服务器，执行官方提供的更新脚本，或手动拉取最新代码进行升级。
• 强烈建议：在面板设置中启用“自动更新” 功能，确保未来始终使用最新安全版本。

2. 🌐 不要将面板“裸奔”暴露在公网

• 哪吒面板此前已多次爆出安全问题。最佳实践是将面板部署在内网环境中。
• 如果必须通过公网访问，请严格配置反向代理（如 Nginx / Cloudflare），并加上 Basic Auth（基础认证）或 IP 白名单限制，绝不能将面板端口直接暴露在互联网上。

3. 🔄 检查并重置敏感信息

• 如果你怀疑自己的面板在升级前已经被扫描或攻击过，建议在升级后立即重置管理员密码，并重新生成相关的 API 密钥和 OAuth2 凭证。

结语： 安全无小事，监控面板往往掌握着所有服务器的“生杀大权”，一旦被接管，后果不堪设想。请大家看到本文后，立刻去检查自己的哪吒面板版本！

也欢迎将这篇文章转发/分享给身边的站长、运维和 VPS 玩家朋友，提醒他们及时修补漏洞，避免“删库跑路”的悲剧发生！

本文漏洞信息来源于安全研究人员及哪吒面板官方公告，仅供安全防御参考，请勿用于非法用途。

END

阅读推荐

【安全圈】高德地图崩了！！！

【安全圈】开源论坛软件 phpBB 曝身份认证绕过漏洞，官方发布 3.3.17 版本更新修复

【安全圈】FBI 与 Google 捣毁 Outsider Enterprise 钓鱼服务！

【安全圈】飞书崩了！！！

安全圈

←扫码关注我们

网罗圈内热点 专注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全圈 《【安全圈】紧急预警！哪吒监控面板曝 9.1 分高危漏洞，仅需 2 次请求即可免密接管！》