CVE-2026-33405

Pi-hole Admin Interface w wersjach od 6.0 do przed 6.5 umieszcza wartości konfiguracyjne z punktu końcowego /api/config bezpośrednio w atrybutach HTML value="" bez escapowania w pliku settings-advanced.js, umożliwiając wstrzyknięcie atrybutów HTML. Podwójny cudzysłów w dowolnej wartości konfiguracji pozwala wyjść z kontekstu atrybutu. Wykonanie JavaScriptu jest blokowane przez CSP serwera (script-src 'self'), ale wstrzyknięte atrybuty mogą zmienić styl elementów w celu przeprowadzenia UI redressing. Głównym wektorem ataku jest import złośliwej kopii zapasowej teleporter, która omija walidację po stronie serwera dla poszczególnych pól.

W interfejsie administracyjnym Pi-hole nazwy hostów i adresy IP klientów z bazy FTL są renderowane do DOM bez escapowania w plikach network.js oraz charts.js/index.js. Mimo że walidacja w dnsmasq i FTL blokuje znaki HTML w normalnych ścieżkach DHCP/DNS, interfejs nie wykonuje escapowania wyjścia, co jest niespójne z innymi polami. Podatność naprawiono w wersji 6.5.

W interfejsie administracyjnym Pi-hole (wersje od 6.0 do przed 6.5) istnieje podatność Reflected DOM-based XSS w pliku taillog.js. Nieuwierzytelniony atakujący może wstrzyknąć dowolny HTML do interfejsu poprzez spreparowany URL, ponieważ parametr file jest wstawiany do innerHTML bez escapowania. Brak dyrektywy form-action w Content-Security-Policy umożliwia eksfiltrację danych uwierzytelniających przez wstrzyknięte formularze. Podatność naprawiono w wersji 6.5.

Interfejs administracyjny Pi-hole przed wersją 6.3 jest podatny na wstrzyknięcie znaków CRLF. Podczas żądania do pliku z rozszerzeniem .lp aplikacja wykonuje przekierowanie bez odpowiedniego oczyszczania danych wejściowych. Atakujący może wstrzyknąć znaki powrotu karetki i nowej linii (%0d%0a), manipulując nagłówkami i treścią odpowiedzi HTTP, co umożliwia wstrzyknięcie dowolnych nagłówków odpowiedzi, prowadząc do fiksacji sesji, zatrucia pamięci podręcznej oraz osłabienia lub obejścia mechanizmów bezpieczeństwa przeglądarki, takich jak CSP czy X-XSS-Protection.

Interfejs administracyjny Pi-hole w wersjach 6.2.1 i wcześniejszych jest podatny na odzwierciedlony atak XSS poprzez nieprawidłowo sformułowaną ścieżkę URL. Strona błędu 404 zawiera żądaną ścieżkę w atrybucie class tagu body bez odpowiedniego oczyszczania lub escapowania.

Interfejs administracyjny Pi-hole w wersjach przed 6.3 jest podatny na ataki cross-site scripting (XSS) poprzez pole Address w sekcji zarządzania listami subskrybowanymi. Uwierzytelniony użytkownik może wstrzyknąć złośliwy JavaScript, który wykona się, gdy inny użytkownik przejdzie do sekcji Tools i uruchomi aktualizację bazy gravity. Podatność naprawiono w wersji 6.3.