CVE-2026-26952
Təsvir
Pi-hole Admin Interface, şəbəkə səviyyəli reklam və internet izləyicilərini bloklayan tətbiq olan Pi-hole-u idarə etmək üçün veb interfeysdir. Versiya 6.4 və daha aşağı versiyalar lokal DNS qeydləri konfiqurasiya səhifəsi vasitəsilə saxlanılan HTML inyeksiyasına qarşı həssasdır ki, bu da autentifikasiya olunmuş administratora Pi-hole konfiqurasiyasında saxlanılan və DNS qeydləri cədvəlinə hər dəfə baxıldıqda render olunan kodu yerləşdirməyə imkan verir. populateDataTable() funksiyası istifadəçi tərəfindən daxil edilmiş və API tərəfindən qaytarılmış tam DNS qeydi dəyərini eynilə saxlayan data dəyişəninə malikdir. Bu dəyər, xüsusi simvolların heç bir eskeypinq və ya sanitarizasiyası olmadan birbaşa data-tag HTML atributuna daxil edilir. Hücumçu dırnaq işarələri (") ehtiva edən dəyər təmin etdikdə, onlar vaxtından əvvəl data-tag atributunu "bağlaya" və elementə əlavə HTML atributları inyeksiya edə bilərlər. Pi-hole sətir içi (inline) JavaScript-i bloklayan Məzmun Təhlükəsizlik Siyasətini (CSP) tətbiq etdiyi üçün təsir məhduddur. Bu problem 6.4.1 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- pi-hole web_interface6.4.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pi-hole web_interface | v < 6.4.1 | 6.4.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.