CVE-2025-53533
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Interfejs administracyjny Pi-hole w wersjach 6.2.1 i wcześniejszych jest podatny na odzwierciedlony atak XSS poprzez nieprawidłowo sformułowaną ścieżkę URL. Strona błędu 404 zawiera żądaną ścieżkę w atrybucie class tagu body bez odpowiedniego oczyszczania lub escapowania.
Ocena ryzyka
Atakujący może utworzyć złośliwy link, który po odwiedzeniu przez ofiarę wykona dowolny kod JavaScript w jej przeglądarce. Może to prowadzić do kradzieży sesji, przejęcia konta lub innych szkodliwych działań w kontekście interfejsu Pi-hole.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie Pi-hole do wersji 6.3 lub nowszej, która zawiera poprawkę. Należy również poinformować użytkowników o ryzyku klikania w podejrzane linki.
Inne podatności w Pi-hole Admin Interface
Zobacz wszystkie- CVE-2025-59151Wysokie
Interfejs administracyjny Pi-hole przed wersją 6.3 jest podatny na wstrzyknięcie znaków CRLF. Podczas żądania do pliku z rozszerzeniem .lp aplikacja wykonuje przekierowanie bez odpowiedniego oczyszczania danych wejściowych. Atakujący może wstrzyknąć znaki powrotu karetki i nowej linii (%0d%0a), manipulując nagłówkami i treścią odpowiedzi HTTP, co umożliwia wstrzyknięcie dowolnych nagłówków odpowiedzi, prowadząc do fiksacji sesji, zatrucia pamięci podręcznej oraz osłabienia lub obejścia mechanizmów bezpieczeństwa przeglądarki, takich jak CSP czy X-XSS-Protection.
- CVE-2025-32785Średnie
Interfejs administracyjny Pi-hole w wersjach przed 6.3 jest podatny na ataki cross-site scripting (XSS) poprzez pole Address w sekcji zarządzania listami subskrybowanymi. Uwierzytelniony użytkownik może wstrzyknąć złośliwy JavaScript, który wykona się, gdy inny użytkownik przejdzie do sekcji Tools i uruchomi aktualizację bazy gravity. Podatność naprawiono w wersji 6.3.
Oryginalny opis (angielski, źródło NVD)
Pi-hole Admin Interface is a web interface for managing Pi-hole, a network-level advertisement and internet tracker blocking application. Pi-hole Admin Interface versions 6.2.1 and earlier are vulnerable to reflected cross-site scripting (XSS) via a malformed URL path. The 404 error page includes the requested path in the class attribute of the body tag without proper sanitization or escaping. An attacker can craft a URL containing an onload attribute that will execute arbitrary JavaScript code in the browser when a victim visits the malicious link. If an attacker sends a crafted pi-hole link to a victim and the victim visits it, attacker-controlled JavaScript code is executed in the browser of the victim. This has been patched in version 6.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS