CVE-2026-35491
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W Pi-hole FTL (FTLDNS) w wersjach od 6.0 do przed 6.6 sesje CLI, które powinny być tylko do odczytu, mogą poprzez /api/teleporter importować archiwa Teleporter i nadpisywać konfigurację. Stanowi to obejście autoryzacji, naprawione w wersji 6.6.
Ocena ryzyka
Sesja o ograniczonych uprawnieniach może zmienić konfigurację Pi-hole, co może prowadzić do nieautoryzowanych modyfikacji ustawień DNS i bezpieczeństwa.
Rekomendacja
Zaktualizuj Pi-hole FTL do wersji 6.6 lub nowszej.
Inne podatności w Pi-hole FTL
Zobacz wszystkie- CVE-2026-44693Wysokie
Pi-hole FTL przed wersją 6.6.1 zawiera podatność na wyścig (race condition) w podsystemie zarządzania sesjami HTTP, wprowadzoną wraz z przepisaniem wbudowanego serwera WWW opartego na CivetWeb w wersji 6.0. Podatność została załatana w wersji 6.6.1.
- CVE-2026-39849Wysokie
W Pi-hole FTL przed wersją 6.6.1 pole konfiguracyjne `dns.interface` akceptuje znaki nowej linii bez walidacji, umożliwiając atakującemu wstrzyknięcie dyrektyw do pliku konfiguracyjnego dnsmasq. Na instalacjach bez hasła administracyjnego (domyślnie) atakujący z sąsiedztwa sieciowego może włączyć wbudowany serwer DHCP i uzyskać zdalne wykonanie kodu przy następnym żądaniu dzierżawy DHCP. Problem został naprawiony w wersji 6.6.1.
Oryginalny opis (angielski, źródło NVD)
FTLDNS (pihole-FTL) provides an interactive API and also generates statistics for Pi-hole's Web interface. From 6.0 to before 6.6, Pi-hole FTL supports a CLI password feature (webserver.api.cli_pw) that creates “CLI” API sessions intended to be read-only for configuration changes. While /api/config correctly blocks CLI sessions from mutating configuration, /api/teleporter allowed Teleporter imports for CLI sessions, enabling a CLI-scoped session to overwrite configuration via a Teleporter archive (authorization bypass). This vulnerability is fixed in 6.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS