文章总结： 本文披露了青龙面板存在的高危鉴权绕过漏洞，起因是系统仅拦截小写路径而框架对大小写不敏感，攻击者只需将请求路径改为大写即可绕过认证执行命令。该漏洞无需登录即可利用，危害严重。文章提供了升级版本、Nginx层加固及代码修复等具体方案，建议受影响用户立即排查并修复。
综合评分： 76
文章分类： 漏洞预警,WEB安全,漏洞分析,解决方案,应急响应
紧急预警：青龙面板严重漏洞，一行命令即可接管服务器！
原创
宝十八
宝十八
网络安全老宋
2026年3月6日 09:01
山东
导语： 你好，我是老宋。关注我，安全攻防干货第一时间送达！
一个严重的鉴权绕过漏洞，原因很想笑，建议先收藏再点赞
漏洞等级：🔴 严重 (Critical)影响版本：Qinglong Panel 2.20.1 及部分旧版本利用难度：🟢 极低 (无需登录，无需认证)
近日，安全研究人员发现流行的定时任务管理面板——青龙面板 (Qinglong Panel) 存在一个严重的鉴权绕过漏洞。
攻击者无需任何账号密码，只需在访问链接中玩一个“大小写游戏”，就能绕过系统的安全检查，直接执行服务器上的任意命令。这意味着，你的服务器可能在毫无察觉的情况下被完全控制。
一、漏洞原理（简单版）
青龙面板原本设定：访问 /api/ 开头的接口必须验证身份（Token）。
但是，由于代码逻辑疏忽：
- 系统严格区分大小写检查路径（只拦截小写
/api/）。 - 但底层框架（Express）对路由大小写不敏感（大写
/API/也能通向后端接口）😂。
结果： 攻击者将链接中的 /api/ 改为 /API/（就是这么简单🤦🏻♀️），系统误以为是不需要验证的普通路径，直接放行，从而让攻击者长驱直入。
二、危害有多大呢？
一旦漏洞被利用，攻击者可以：
- ✅ 执行任意命令：查看服务器信息、安装恶意软件。
- ✅ 窃取敏感数据：读取配置文件、数据库密码、密钥。
- ✅ 完全接管服务器：植入挖矿程序、发起内网攻击或勒索病毒。
复现示例（仅供技术理解，严禁非法使用）：正常请求会被拦截，但将 api 改为大写 API 后：
curl -X PUT "http://目标IP:5700/API/system/command-run" \
-H "Content-Type: application/json" \
-d '{"command": "whoami"}'
系统将直接返回当前用户权限（通常是 root），导致服务器沦陷。
三、如何防御与修复？
使用青龙面板的管理员建议立即采取以下措施：
1. 官方升级（推荐）密切关注青龙面板官方仓库，尽快升级到修复了该漏洞的最新版本。
2. 临时加固方案如果暂时无法升级，建议在反向代理（如 Nginx）层强制统一路径大小写，或直接禁止外部访问敏感接口：
- Nginx 配置示例：强制将所有 URI 转换为小写，或在防火墙层面限制
/api/相关接口的访问来源。 - 代码层修复思路（供开发者参考）：将鉴权逻辑中的路径匹配改为不区分大小写的正则匹配。
// 错误写法
if (!req.path.startsWith('/api/')) { ... }
// 正确写法 (忽略大小写)
if (!/^\/api\//i.test(req.path)) { ... }
四、特别提醒
- 自查： 检查您的服务器是否暴露在公网，且运行的是受影响版本。
- 日志审计： 检查服务器日志，查看是否有异常的
/API/或混合大小写的访问记录。 - 合规使用： 本文仅用于安全技术交流与防御加固，严禁利用该漏洞进行非法攻击。
那么，你自己使用青龙面板了吗？是薅羊毛吗？(#^.^#)
🐰：我也是赶了个晚集☺️
往期精彩
多地爆发 “银狐” 病毒，办公场景成重灾区，这些防范要点必看
如果你感觉有用，帮忙点个免费的关注转发，你的支持是我更新的动力
关注我的人，顺风顺水顺财神，朝朝暮暮有人疼！无一例外！
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：网络安全老宋 宝十八
宝十八《紧急预警：青龙面板严重漏洞，一行命令即可接管服务器！》