CVE-2026-26952

Pi-hole Admin Interface, ağ düzeyinde bir reklam ve internet takipçisi engelleme uygulaması olan Pi-hole'u yönetmek için kullanılan bir web arayüzüdür. 6.4 ve altı sürümler, yerel DNS kayıtları yapılandırma sayfası üzerinden saklanan HTML enjeksiyonuna karşı savunmasızdır; bu durum, kimliği doğrulanmış bir yöneticinin, Pi-hole yapılandırmasında saklanan ve DNS kayıtları tablosu her görüntülendiğinde işlenen kodlar enjekte etmesine olanak tanır. populateDataTable() fonksiyonu, kullanıcı tarafından girilen ve API tarafından döndürülen tam DNS kayıt değerini içeren bir data değişkenine sahiptir. Bu değer, özel karakterlerin herhangi bir kaçış işlemi veya temizleme işleminden geçirilmeden doğrudan data-tag HTML özniteliğine eklenmektedir. Bir saldırgan çift tırnak (") içeren bir değer sağladığında, data-tag özniteliğini vaktinden önce "kapatabilir" ve öğeye ek HTML öznitelikleri enjekte edebilir. Pi-hole, satır içi JavaScript'i engelleyen bir İçerik Güvenlik Politikası (CSP) uyguladığından etkisi sınırlıdır. Bu sorun 6.4.1 sürümünde düzeltilmiştir.