CVE-2026-33406
Açıklama
Pi-hole Admin Interface, ağ düzeyinde bir reklam ve internet takipçisi engelleme uygulaması olan Pi-hole'u yönetmek için kullanılan bir web arayüzüdür. 6.0 ile 6.5 sürümleri arasında, /api/config uç noktasından gelen yapılandırma değerleri, settings-advanced.js dosyasında herhangi bir kaçış işlemi uygulanmadan doğrudan HTML value="" öznitelikleri içine yerleştirilmektedir; bu durum HTML öznitelik enjeksiyonuna (HTML attribute injection) olanak tanır. Herhangi bir yapılandırma değerindeki çift tırnak işareti, öznitelik bağlamının dışına çıkılmasını sağlar. JavaScript yürütülmesi sunucunun CSP (script-src 'self') politikası tarafından engellenmektedir ancak enjekte edilen öznitelikler, kullanıcı arayüzü yeniden düzenlemesi (UI redressing) için öğe stilini değiştirebilir. Temel saldırı vektörü, alan bazlı sunucu tarafı doğrulamayı atlayan kötü amaçlı bir teleporter yedeğinin içe aktarılmasıdır. Bu güvenlik açığı 6.5 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pi-hole web_interface | 6.0 ≤ v ≤ 6.4.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.