CVE-2026-26953

Pi-hole Admin Interface, şəbəkə səviyyəsində reklam və internet izləyicilərini bloklayan tətbiq olan Pi-hole-u idarə etmək üçün veb interfeysdir. Versiya 6.0 və daha yuxarı versiyalarda, API parametrləri səhifəsində yerləşən aktiv sessiyalar cədvəlində Stored HTML Injection zəifliyi mövcuddur. Bu, etibarlı giriş məlumatlarına malik hücumçunun istənilən HTML kodunu daxil etməsinə imkan verir və həmin kod aktiv sessiyalar səhifəsinə daxil olan hər bir administratorun brauzerində render olunacaqdır. rowCallback funksiyası data.x_forwarded_for dəyərini ehtiva edir ki, bu dəyər birbaşa HTML sətirinə birləşdirilir və jQuery-nin .html() metodu vasitəsilə DOM-a əlavə edilir. Bu metod məzmunu HTML kimi şərh edir, bu isə o deməkdir ki, dəyərdə mövcud olan bütün HTML teqləri brauzer tərəfindən təhlil ediləcək və render olunacaqdır. Hücumçu legitim IP ünvanı əvəzinə zərərli HTML kodu ehtiva edən X-Forwarded-For başlığı ilə autentifikasiya sorğusu göndərmək üçün curl, wget, Python requests, Burp Suite və ya hətta JavaScript fetch() kimi geniş yayılmış alətlərdən istifadə edə bilər. Pi-hole, inline JavaScript-i bloklayan Məzmun Təhlükəsizlik Siyasətini (CSP) tətbiq etdiyi üçün təsir skriptlərin icrası imkanı olmadan yalnız saf HTML injection ilə məhdudlaşır. Bu problem 6.4.1 versiyasında düzəldilmişdir.