CVE-2026-44693

WysokieCVSS 8.8

Opublikowano: 10/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Pi-hole FTL przed wersją 6.6.1 zawiera podatność na wyścig (race condition) w podsystemie zarządzania sesjami HTTP, wprowadzoną wraz z przepisaniem wbudowanego serwera WWW opartego na CivetWeb w wersji 6.0. Podatność została załatana w wersji 6.6.1.

Ocena ryzyka

Ryzyko polega na możliwości nieautoryzowanego dostępu do sesji HTTP, co może prowadzić do przejęcia sesji administratora i naruszenia bezpieczeństwa całego systemu Pi-hole.

Rekomendacja

Zaleca się natychmiastową aktualizację Pi-hole FTL do wersji 6.6.1 lub nowszej, która zawiera poprawkę.

Inne podatności w Pi-hole FTL

CVE-2026-39849Wysokie
W Pi-hole FTL przed wersją 6.6.1 pole konfiguracyjne `dns.interface` akceptuje znaki nowej linii bez walidacji, umożliwiając atakującemu wstrzyknięcie dyrektyw do pliku konfiguracyjnego dnsmasq. Na instalacjach bez hasła administracyjnego (domyślnie) atakujący z sąsiedztwa sieciowego może włączyć wbudowany serwer DHCP i uzyskać zdalne wykonanie kodu przy następnym żądaniu dzierżawy DHCP. Problem został naprawiony w wersji 6.6.1.

Oryginalny opis (angielski, źródło NVD)

Pi-hole FTL is the core engine of the Pi-hole network-level advertisement and tracker blocker. Prior to version 6.6.1, Pi-hole FTL contains a race condition vulnerability in the HTTP session management subsystem, introduced with the v6.0 rewrite of the embedded CivetWeb-based web server. This issue has been patched in version 6.6.1.