DPanel 在 github.com/donknap/dpanel 的 /api/common/attach/delete 接口存在任意文件删除漏洞

攻击者利用此漏洞可以删除 DPanel 服务器上的任何文件，包括配置文件、数据库文件，甚至系统关键文件。这可能导致服务中断、数据泄露，甚至完全破坏服务器。由于 DPanel 通常用于托管网站和应用程序，攻击者可能能够删除网站文件，导致网站不可用，或窃取敏感数据。如果攻击者能够删除数据库文件，则可能导致数据库损坏，从而导致数据丢失和业务中断。该漏洞的潜在影响范围取决于 DPanel 服务器上存储的数据类型和数量。

Organizations running DPanel, particularly those hosting websites or applications with sensitive data, are at risk. Shared hosting environments utilizing DPanel are especially vulnerable, as a compromise of one user's account could potentially impact other users on the same server. Legacy DPanel installations with outdated configurations are also at increased risk.

• go / server: Inspect DPanel logs for suspicious requests to /api/common/attach/delete with unusual parameters. Monitor file system integrity for unexpected deletions.

journalctl -u dpanel | grep '/api/common/attach/delete'

• generic web: Monitor access logs for requests to /api/common/attach/delete originating from unusual IP addresses or user agents.

grep '/api/common/attach/delete' /var/log/apache2/access.log

1. 2026-01-23Disclosure

   disclosure

1. 已保留2025-11-26
2. 发布日期2026-01-23
3. 修改日期2026-03-03
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 DPanel 升级到 1.9.2 或更高版本。如果升级会导致服务中断，可以考虑回滚到之前的稳定版本，并尽快安排升级。在升级之前，务必备份 DPanel 服务器上的所有重要数据。此外，可以考虑使用 Web 应用防火墙 (WAF) 来阻止对 /api/common/attach/delete 接口的恶意请求。配置 WAF 规则以阻止任何尝试删除文件的请求。监控 DPanel 服务器上的日志文件，以检测任何可疑活动。