CVE-2026-44693
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Pi-hole FTL przed wersją 6.6.1 zawiera podatność na wyścig (race condition) w podsystemie zarządzania sesjami HTTP, wprowadzoną wraz z przepisaniem wbudowanego serwera WWW opartego na CivetWeb w wersji 6.0. Podatność została załatana w wersji 6.6.1.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do sesji HTTP, co może prowadzić do przejęcia sesji administratora i naruszenia bezpieczeństwa całego systemu Pi-hole.
Rekomendacja
Zaleca się natychmiastową aktualizację Pi-hole FTL do wersji 6.6.1 lub nowszej, która zawiera poprawkę.
Inne podatności w Pi-hole FTL
Zobacz wszystkie- CVE-2026-39849Wysokie
W Pi-hole FTL przed wersją 6.6.1 pole konfiguracyjne `dns.interface` akceptuje znaki nowej linii bez walidacji, umożliwiając atakującemu wstrzyknięcie dyrektyw do pliku konfiguracyjnego dnsmasq. Na instalacjach bez hasła administracyjnego (domyślnie) atakujący z sąsiedztwa sieciowego może włączyć wbudowany serwer DHCP i uzyskać zdalne wykonanie kodu przy następnym żądaniu dzierżawy DHCP. Problem został naprawiony w wersji 6.6.1.
- CVE-2026-35491Średnie
W Pi-hole FTL (FTLDNS) w wersjach od 6.0 do przed 6.6 sesje CLI, które powinny być tylko do odczytu, mogą poprzez /api/teleporter importować archiwa Teleporter i nadpisywać konfigurację. Stanowi to obejście autoryzacji, naprawione w wersji 6.6.
Oryginalny opis (angielski, źródło NVD)
Pi-hole FTL is the core engine of the Pi-hole network-level advertisement and tracker blocker. Prior to version 6.6.1, Pi-hole FTL contains a race condition vulnerability in the HTTP session management subsystem, introduced with the v6.0 rewrite of the embedded CivetWeb-based web server. This issue has been patched in version 6.6.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS