CVE-2026-33406
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Pi-hole Admin Interface w wersjach od 6.0 do przed 6.5 umieszcza wartości konfiguracyjne z punktu końcowego /api/config bezpośrednio w atrybutach HTML value="" bez escapowania w pliku settings-advanced.js, umożliwiając wstrzyknięcie atrybutów HTML. Podwójny cudzysłów w dowolnej wartości konfiguracji pozwala wyjść z kontekstu atrybutu. Wykonanie JavaScriptu jest blokowane przez CSP serwera (script-src 'self'), ale wstrzyknięte atrybuty mogą zmienić styl elementów w celu przeprowadzenia UI redressing. Głównym wektorem ataku jest import złośliwej kopii zapasowej teleporter, która omija walidację po stronie serwera dla poszczególnych pól.
Ocena ryzyka
Atakujący może zmodyfikować wygląd interfejsu użytkownika, aby nakłonić administratora do wykonania niepożądanych działań (UI redressing), co może prowadzić do błędnej konfiguracji lub innych konsekwencji.
Rekomendacja
Zaktualizuj Pi-hole Admin Interface do wersji 6.5. Unikaj importowania kopii zapasowych z niezaufanych źródeł.
Inne podatności w Pi-hole Admin Interface
Zobacz wszystkie- CVE-2026-33405Niskie
W interfejsie administracyjnym Pi-hole funkcja formatInfo() w pliku queries.js renderuje wartości data.upstream, data.client.ip oraz data.ede.text do HTML bez escapowania podczas rozwijania wiersza zapytania w dzienniku zapytań. Umożliwia to przechowywaną iniekcję HTML; wykonanie JavaScriptu blokuje CSP serwera (script-src 'self'). Podatność naprawiono w wersji 6.5.
- CVE-2026-33404Niskie
W interfejsie administracyjnym Pi-hole nazwy hostów i adresy IP klientów z bazy FTL są renderowane do DOM bez escapowania w plikach network.js oraz charts.js/index.js. Mimo że walidacja w dnsmasq i FTL blokuje znaki HTML w normalnych ścieżkach DHCP/DNS, interfejs nie wykonuje escapowania wyjścia, co jest niespójne z innymi polami. Podatność naprawiono w wersji 6.5.
- CVE-2026-33403Średnie
W interfejsie administracyjnym Pi-hole (wersje od 6.0 do przed 6.5) istnieje podatność Reflected DOM-based XSS w pliku taillog.js. Nieuwierzytelniony atakujący może wstrzyknąć dowolny HTML do interfejsu poprzez spreparowany URL, ponieważ parametr file jest wstawiany do innerHTML bez escapowania. Brak dyrektywy form-action w Content-Security-Policy umożliwia eksfiltrację danych uwierzytelniających przez wstrzyknięte formularze. Podatność naprawiono w wersji 6.5.
- CVE-2025-59151Wysokie
Interfejs administracyjny Pi-hole przed wersją 6.3 jest podatny na wstrzyknięcie znaków CRLF. Podczas żądania do pliku z rozszerzeniem .lp aplikacja wykonuje przekierowanie bez odpowiedniego oczyszczania danych wejściowych. Atakujący może wstrzyknąć znaki powrotu karetki i nowej linii (%0d%0a), manipulując nagłówkami i treścią odpowiedzi HTTP, co umożliwia wstrzyknięcie dowolnych nagłówków odpowiedzi, prowadząc do fiksacji sesji, zatrucia pamięci podręcznej oraz osłabienia lub obejścia mechanizmów bezpieczeństwa przeglądarki, takich jak CSP czy X-XSS-Protection.
- CVE-2025-53533Średnie
Interfejs administracyjny Pi-hole w wersjach 6.2.1 i wcześniejszych jest podatny na odzwierciedlony atak XSS poprzez nieprawidłowo sformułowaną ścieżkę URL. Strona błędu 404 zawiera żądaną ścieżkę w atrybucie class tagu body bez odpowiedniego oczyszczania lub escapowania.
- CVE-2025-32785Średnie
Interfejs administracyjny Pi-hole w wersjach przed 6.3 jest podatny na ataki cross-site scripting (XSS) poprzez pole Address w sekcji zarządzania listami subskrybowanymi. Uwierzytelniony użytkownik może wstrzyknąć złośliwy JavaScript, który wykona się, gdy inny użytkownik przejdzie do sekcji Tools i uruchomi aktualizację bazy gravity. Podatność naprawiono w wersji 6.3.
Oryginalny opis (angielski, źródło NVD)
Pi-hole Admin Interface is a web interface for managing Pi-hole, a network-level ad and internet tracker blocking application. From 6.0 to before 6.5, configuration values from the /api/config endpoint are placed directly into HTML value="" attributes without escaping in settings-advanced.js, enabling HTML attribute injection. A double quote in any config value breaks out of the attribute context. JavaScript execution is blocked by the server's CSP (script-src 'self'), but injected attributes can alter element styling for UI redressing. The primary attack vector is importing a malicious teleporter backup, which bypasses per-field server-side validation. This vulnerability is fixed in 6.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS