CVE-2026-39849

Pi-hole FTL, Pi-hole ağ düzeyindeki reklam ve takipçi engelleyicinin çekirdek motorudur. 6.6.1 öncesindeki sürümlerde, Pi-hole FTL'deki `dns.interface` yapılandırma alanı yeni satır karakterlerini doğrulama yapmadan kabul etmekte, bu da bir saldırganın oluşturulan dnsmasq yapılandırma dosyasına rastgele direktifler enjekte etmesine olanak tanımaktadır. Yönetici parolası ayarlanmamış kurulumlarda (birçok dağıtım için varsayılandır), yapılandırma API'sine kimlik bilgileri olmadan tam erişim sağlanabilmektedir; bu durum, ağa yakın konumdaki bir saldırganın yükü enjekte etmesine, yerleşik DHCP sunucusunu etkinleştirmesine ve ağdaki herhangi bir cihaz bir sonraki DHCP kira isteğinde bulunduğunda ana makinede rastgele komut çalıştırmasına imkan verir. Enjekte edilen değer /etc/pihole/pihole.toml dosyasına kaydedilir ve yeniden başlatmalardan sonra korunur. Kod yolundaki strncpy, toplam arayüz alanını 31 bayt ile sınırlar ancak wlan0\ndhcp-script=/tmp/p gibi yükler bu kısıtlama dahilindedir. FTL 6.6 ile getirilen dnsmasq yapılandırma doğrulaması yalnızca sözdizimsel geçerliliği kontrol eder, bu nedenle yeni satır aracılığıyla enjekte edilen geçerli direktifler doğrulamadan başarıyla geçer. Bu sorun 6.6.1 sürümünde düzeltilmiştir.