CVE-2025-59151
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Interfejs administracyjny Pi-hole przed wersją 6.3 jest podatny na wstrzyknięcie znaków CRLF. Podczas żądania do pliku z rozszerzeniem .lp aplikacja wykonuje przekierowanie bez odpowiedniego oczyszczania danych wejściowych. Atakujący może wstrzyknąć znaki powrotu karetki i nowej linii (%0d%0a), manipulując nagłówkami i treścią odpowiedzi HTTP, co umożliwia wstrzyknięcie dowolnych nagłówków odpowiedzi, prowadząc do fiksacji sesji, zatrucia pamięci podręcznej oraz osłabienia lub obejścia mechanizmów bezpieczeństwa przeglądarki, takich jak CSP czy X-XSS-Protection.
Ocena ryzyka
Atakujący może przejąć sesje użytkowników, zatruć pamięć podręczną przeglądarek oraz osłabić ochronę przed atakami XSS, co zagraża bezpieczeństwu całej infrastruktury Pi-hole.
Rekomendacja
Należy natychmiast zaktualizować Pi-hole Admin Interface do wersji 6.3 lub nowszej, która zawiera poprawkę eliminującą podatność na wstrzyknięcie CRLF.
Inne podatności w Pi-hole Admin Interface
Zobacz wszystkie- CVE-2026-33405Niskie
W interfejsie administracyjnym Pi-hole funkcja formatInfo() w pliku queries.js renderuje wartości data.upstream, data.client.ip oraz data.ede.text do HTML bez escapowania podczas rozwijania wiersza zapytania w dzienniku zapytań. Umożliwia to przechowywaną iniekcję HTML; wykonanie JavaScriptu blokuje CSP serwera (script-src 'self'). Podatność naprawiono w wersji 6.5.
- CVE-2026-33406Średnie
Pi-hole Admin Interface w wersjach od 6.0 do przed 6.5 umieszcza wartości konfiguracyjne z punktu końcowego /api/config bezpośrednio w atrybutach HTML value="" bez escapowania w pliku settings-advanced.js, umożliwiając wstrzyknięcie atrybutów HTML. Podwójny cudzysłów w dowolnej wartości konfiguracji pozwala wyjść z kontekstu atrybutu. Wykonanie JavaScriptu jest blokowane przez CSP serwera (script-src 'self'), ale wstrzyknięte atrybuty mogą zmienić styl elementów w celu przeprowadzenia UI redressing. Głównym wektorem ataku jest import złośliwej kopii zapasowej teleporter, która omija walidację po stronie serwera dla poszczególnych pól.
- CVE-2026-33404Niskie
W interfejsie administracyjnym Pi-hole nazwy hostów i adresy IP klientów z bazy FTL są renderowane do DOM bez escapowania w plikach network.js oraz charts.js/index.js. Mimo że walidacja w dnsmasq i FTL blokuje znaki HTML w normalnych ścieżkach DHCP/DNS, interfejs nie wykonuje escapowania wyjścia, co jest niespójne z innymi polami. Podatność naprawiono w wersji 6.5.
- CVE-2026-33403Średnie
W interfejsie administracyjnym Pi-hole (wersje od 6.0 do przed 6.5) istnieje podatność Reflected DOM-based XSS w pliku taillog.js. Nieuwierzytelniony atakujący może wstrzyknąć dowolny HTML do interfejsu poprzez spreparowany URL, ponieważ parametr file jest wstawiany do innerHTML bez escapowania. Brak dyrektywy form-action w Content-Security-Policy umożliwia eksfiltrację danych uwierzytelniających przez wstrzyknięte formularze. Podatność naprawiono w wersji 6.5.
- CVE-2025-53533Średnie
Interfejs administracyjny Pi-hole w wersjach 6.2.1 i wcześniejszych jest podatny na odzwierciedlony atak XSS poprzez nieprawidłowo sformułowaną ścieżkę URL. Strona błędu 404 zawiera żądaną ścieżkę w atrybucie class tagu body bez odpowiedniego oczyszczania lub escapowania.
- CVE-2025-32785Średnie
Interfejs administracyjny Pi-hole w wersjach przed 6.3 jest podatny na ataki cross-site scripting (XSS) poprzez pole Address w sekcji zarządzania listami subskrybowanymi. Uwierzytelniony użytkownik może wstrzyknąć złośliwy JavaScript, który wykona się, gdy inny użytkownik przejdzie do sekcji Tools i uruchomi aktualizację bazy gravity. Podatność naprawiono w wersji 6.3.
Oryginalny opis (angielski, źródło NVD)
Pi-hole Admin Interface is a web interface for managing Pi-hole, a network-level advertisement and internet tracker blocking application. Pi-hole Admin Interface before 6.3 is vulnerable to Carriage Return Line Feed (CRLF) injection. When a request is made to a file ending with the .lp extension, the application performs a redirect without properly sanitizing the input. An attacker can inject carriage return and line feed characters (%0d%0a) to manipulate both the headers and the content of the HTTP response. This enables the injection of arbitrary HTTP response headers, potentially leading to session fixation, cache poisoning, and the weakening or bypassing of browser-based security mechanisms such as Content Security Policy or X-XSS-Protection. This vulnerability is fixed in 6.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS