CVE-2026-26953

Pi-hole Admin Interface, ağ düzeyinde bir reklam ve internet takipçisi engelleme uygulaması olan Pi-hole'u yönetmek için kullanılan bir web arayüzüdür. Sürüm 6.0 ve üzeri, API ayarları sayfasında bulunan aktif oturumlar tablosunda, geçerli kimlik bilgilerine sahip bir saldırganın, aktif oturumlar sayfasını ziyaret eden herhangi bir yöneticinin tarayıcısında işlenecek keyfi HTML kodu eklemesine izin veren bir Stored HTML Injection zafiyetine sahiptir. rowCallback fonksiyonu, doğrudan bir HTML dizesine eklenen ve jQuery'nin .html() yöntemi kullanılarak DOM'a yerleştirilen data.x_forwarded_for değerini içerir. Bu yöntem içeriği HTML olarak yorumlar, bu da değerde bulunan tüm HTML etiketlerinin tarayıcı tarafından ayrıştırılacağı ve işleneceği anlamına gelir. Bir saldırgan; meşru bir IP adresi yerine kötü amaçlı HTML kodu içeren bir X-Forwarded-For başlığıyla kimlik doğrulama isteği göndermek için curl, wget, Python requests, Burp Suite veya JavaScript fetch() gibi yaygın araçları kullanabilir. Pi-hole, satır içi JavaScript'i engelleyen bir İçerik Güvenliği Politikası (CSP) uyguladığından, etki betik yürütme yeteneği olmaksızın saf HTML injection ile sınırlıdır. Bu sorun sürüm 6.4.1'de düzeltilmiştir.