CVE-2026-39849

Pi-hole FTL, Pi-hole şəbəkə səviyyəli reklam və treker bloklayıcısının əsas mühərrikidir. 6.6.1 versiyasından əvvəlki versiyalarda, Pi-hole FTL-dəki `dns.interface` konfiqurasiya sahəsi yeni sətir simvollarını yoxlamadan qəbul edirdi ki, bu da hücumçuya yaradılmış dnsmasq konfiqurasiya faylına ixtiyari direktivlərin yerləşdirilməsinə imkan verir. Admin şifrəsi təyin edilməmiş quraşdırmalarda (bir çox tətbiqlər üçün standartdır), konfiqurasiya API-si etibarnamələr olmadan tam əlçatandır. Bu, şəbəkədə olan hücumçuya zərərli kodu yerləşdirməyə, daxili DHCP serverini aktivləşdirməyə və şəbəkədəki hər hansı cihaz növbəti dəfə DHCP lisenziyası tələb etdikdə host üzərində ixtiyari əmrlərin icrasını həyata keçirməyə imkan verir. Yerləşdirilmiş dəyər /etc/pihole/pihole.toml faylında saxlanılır və yenidən başladılmalardan sonra da qalır. Kod yolundakı strncpy funksiyası ümumi interfeys sahəsini 31 baytla məhdudlaşdırır, lakin wlan0\ndhcp-script=/tmp/p kimi yüklər bu məhdudiyyətə uyğun gəlir. FTL 6.6-da tətbiq edilmiş dnsmasq konfiqurasiya yoxlaması yalnız sintaktik düzgünlüyü yoxladığı üçün, yeni sətirlər vasitəsilə yerləşdirilən düzgün direktivlər yoxlamadan uğurla keçir. Bu problem 6.6.1 versiyasında aradan qaldırılıb.