1Panel是一款开源的Linux服务器运维管理面板，支持通过可视化界面管理网站、数据库、Docker容器、SSL证书、防火墙等功能。
近日，监测到1Panel Agent存在证书验证绕过导致的远程命令执行（RCE）漏洞。该漏洞影响1Panel v2版本引入的Core-Agent架构，双方通过HTTPS进行通信时使用tls.RequireAnyClientCert进行证书校验，仅检查证书的CN字段为panel_client，未对证书签发机构进行验证。攻击者可通过伪造合法格式的客户端证书绕过身份认证，进而访问多个高权限WebSocket接口，实现敏感信息获取与远程命令执行。
建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。
二、影响范围
1Panel <= v2.0.5
三、修复建议
已发布修复版本，建议用户升级至v2.0.6。
