關鍵詞
漏洞
導語:
各位站長、運維和 VPS 玩家們注意了!如果你正在使用開源服務監控面板“哪吒監控(Nezha)”,請立刻、馬上檢查你的面板版本!
日前,安全研究人員公開了一個針對哪吒面板的極高危漏洞(CVE-2026-53519)。攻擊者無需任何密碼,僅需發送 2 次簡單的 GET 請求,就能直接接管你的整個監控面板!目前相關攻擊正在迅速增加,請務必重視!
一、漏洞概述:9.1分極高危
- 漏洞編號:CVE-2026-53519
- 漏洞類型:未經授權的路徑穿越(Path Traversal)
- CVSS 嚴重性評分9.1 / 10(極高危)
- 修復版本:v2.0.13(已于 2026年5月25日 發布)
該漏洞允許攻擊者在完全不需要身份認證的情況下,通過構造特殊的 URL 讀取服務器上的任意文件。這意味著你的服務器在黑客面前幾乎是“裸奔”狀態。
![]()
??♂? 二、攻擊原理:2次請求如何“白嫖”管理員權限?
這個漏洞最可怕的地方在于其極低的攻擊門檻和極高的成功率。整個過程不需要用戶進行任何交互,攻擊鏈路如下:
- 第一次請求(竊取核心機密)
攻擊者利用路徑穿越漏洞,直接讀取哪吒面板的核心配置文件。借此,攻擊者可以獲取:完整數據庫信息、管理員賬號、哈希密碼、服務器列表以及OAuth2 憑證。 - 第二次請求(偽造身份登頂)
雖然管理員密碼是哈希加密的,但攻擊者能從配置文件中提取出JWT 密鑰。利用對稱密鑰算法(HS256),攻擊者可以直接偽造管理員的 Cookie。 - 成功接管
只需知道管理員 ID,配合偽造的 Cookie,攻擊者即可免密登錄,瞬間獲得最高管理員權限,徹底接管面板及下轄的所有監控節點!
?? 劃重點:不需要爆破密碼,不需要釣魚,僅僅 2 次 GET 請求,你的面板就易主了。?? 三、影響范圍:看看你中招沒?
- 受影響版本v2.0.13 之前的所有版本
- 安全版本:v2.0.13 及后續更新版本。
雖然官方早在 5 月 25 日就發布了修復版本,在漏洞未公開前升級的用戶可以免疫此攻擊。但由于很多用戶沒有開啟自動更新或未及時關注官方動態,目前仍有大量面板暴露在風險之中。隨著漏洞細節的公開,互聯網上的自動化掃描和攻擊正在呈指數級上升!
? 四、緊急修復與防護建議(必看)
為了您的服務器和數據安全,請立即采取以下措施:
1. 立即升級至最新版本(最優先)
- 登錄你的哪吒面板服務器,執行官方提供的更新腳本,或手動拉取最新代碼進行升級。
- 強烈建議:在面板設置中啟用“自動更新”功能,確保未來始終使用最新安全版本。
- 哪吒面板此前已多次爆出安全問題。最佳實踐是將面板部署在內網環境中。
- 如果必須通過公網訪問,請嚴格配置反向代理(如 Nginx / Cloudflare),并加上 Basic Auth(基礎認證)或 IP 白名單限制,絕不能將面板端口直接暴露在互聯網上。
- 如果你懷疑自己的面板在升級前已經被掃描或攻擊過,建議在升級后立即重置管理員密碼,并重新生成相關的 API 密鑰和 OAuth2 憑證。
結語:
安全無小事,監控面板往往掌握著所有服務器的“生殺大權”,一旦被接管,后果不堪設想。請大家看到本文后,立刻去檢查自己的哪吒面板版本!
也歡迎將這篇文章轉發/分享給身邊的站長、運維和 VPS 玩家朋友,提醒他們及時修補漏洞,避免“刪庫跑路”的悲劇發生!
本文漏洞信息來源于安全研究人員及哪吒面板官方公告,僅供安全防御參考,請勿用于非法用途。
![]()
安全圈
![]()
網羅圈內熱點 專注網絡安全
實時資訊一手掌握!
好看你就分享 有用就點個贊
支持「安全圈」就點個三連吧!
特別聲明:以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布,本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.