CVE-2026-33403
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W interfejsie administracyjnym Pi-hole (wersje od 6.0 do przed 6.5) istnieje podatność Reflected DOM-based XSS w pliku taillog.js. Nieuwierzytelniony atakujący może wstrzyknąć dowolny HTML do interfejsu poprzez spreparowany URL, ponieważ parametr file jest wstawiany do innerHTML bez escapowania. Brak dyrektywy form-action w Content-Security-Policy umożliwia eksfiltrację danych uwierzytelniających przez wstrzyknięte formularze. Podatność naprawiono w wersji 6.5.
Ocena ryzyka
Podatność może pozwolić atakującemu na kradzież danych logowania administratora lub wykonanie działań w jego imieniu. Może to prowadzić do przejęcia kontroli nad Pi-hole i dalszych ataków w sieci.
Rekomendacja
Należy zaktualizować Pi-hole do wersji 6.5 lub nowszej. Dodatkowo zaleca się wdrożenie nagłówka Content-Security-Policy z dyrektywą form-action oraz unikanie klikania w nieznane linki prowadzące do interfejsu administracyjnego.
Inne podatności w Pi-hole Admin Interface
Zobacz wszystkie- CVE-2026-33405Niskie
W interfejsie administracyjnym Pi-hole funkcja formatInfo() w pliku queries.js renderuje wartości data.upstream, data.client.ip oraz data.ede.text do HTML bez escapowania podczas rozwijania wiersza zapytania w dzienniku zapytań. Umożliwia to przechowywaną iniekcję HTML; wykonanie JavaScriptu blokuje CSP serwera (script-src 'self'). Podatność naprawiono w wersji 6.5.
- CVE-2026-33406Średnie
Pi-hole Admin Interface w wersjach od 6.0 do przed 6.5 umieszcza wartości konfiguracyjne z punktu końcowego /api/config bezpośrednio w atrybutach HTML value="" bez escapowania w pliku settings-advanced.js, umożliwiając wstrzyknięcie atrybutów HTML. Podwójny cudzysłów w dowolnej wartości konfiguracji pozwala wyjść z kontekstu atrybutu. Wykonanie JavaScriptu jest blokowane przez CSP serwera (script-src 'self'), ale wstrzyknięte atrybuty mogą zmienić styl elementów w celu przeprowadzenia UI redressing. Głównym wektorem ataku jest import złośliwej kopii zapasowej teleporter, która omija walidację po stronie serwera dla poszczególnych pól.
- CVE-2026-33404Niskie
W interfejsie administracyjnym Pi-hole nazwy hostów i adresy IP klientów z bazy FTL są renderowane do DOM bez escapowania w plikach network.js oraz charts.js/index.js. Mimo że walidacja w dnsmasq i FTL blokuje znaki HTML w normalnych ścieżkach DHCP/DNS, interfejs nie wykonuje escapowania wyjścia, co jest niespójne z innymi polami. Podatność naprawiono w wersji 6.5.
- CVE-2025-59151Wysokie
Interfejs administracyjny Pi-hole przed wersją 6.3 jest podatny na wstrzyknięcie znaków CRLF. Podczas żądania do pliku z rozszerzeniem .lp aplikacja wykonuje przekierowanie bez odpowiedniego oczyszczania danych wejściowych. Atakujący może wstrzyknąć znaki powrotu karetki i nowej linii (%0d%0a), manipulując nagłówkami i treścią odpowiedzi HTTP, co umożliwia wstrzyknięcie dowolnych nagłówków odpowiedzi, prowadząc do fiksacji sesji, zatrucia pamięci podręcznej oraz osłabienia lub obejścia mechanizmów bezpieczeństwa przeglądarki, takich jak CSP czy X-XSS-Protection.
- CVE-2025-53533Średnie
Interfejs administracyjny Pi-hole w wersjach 6.2.1 i wcześniejszych jest podatny na odzwierciedlony atak XSS poprzez nieprawidłowo sformułowaną ścieżkę URL. Strona błędu 404 zawiera żądaną ścieżkę w atrybucie class tagu body bez odpowiedniego oczyszczania lub escapowania.
- CVE-2025-32785Średnie
Interfejs administracyjny Pi-hole w wersjach przed 6.3 jest podatny na ataki cross-site scripting (XSS) poprzez pole Address w sekcji zarządzania listami subskrybowanymi. Uwierzytelniony użytkownik może wstrzyknąć złośliwy JavaScript, który wykona się, gdy inny użytkownik przejdzie do sekcji Tools i uruchomi aktualizację bazy gravity. Podatność naprawiono w wersji 6.3.
Oryginalny opis (angielski, źródło NVD)
Pi-hole Admin Interface is a web interface for managing Pi-hole, a network-level ad and internet tracker blocking application. From 6.0 to before 6.5, a reflected DOM-based XSS vulnerability in taillog.js allows an unauthenticated attacker to inject arbitrary HTML into the Pi-hole admin interface by crafting a malicious URL. The file query parameter is interpolated into an innerHTML assignment without escaping. Because the Content-Security-Policy is missing the form-action directive, injected <form> elements can exfiltrate credentials to an external origin. This vulnerability is fixed in 6.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS