Mzalzahrani

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Pi-hole FTL من 6.0 إلى 6.5 الوصف يوفر Pi-hole FTL واجهة برمجة تطبيقات (API) تفاعلية ويقوم بإنشاء إحصائيات لواجهة الويب الخاصة بـ Pi-hole. تحتوي الإصدارات من 6.0 إلى 6.5 على مشكلة تجاوز في عملية المصادقة تتعلق بواجهة برمجة تطبيقات Teleporter. وعلى وجه التحديد، سمحت نقطة النهاية `/api/teleporter` للجلسات التي تقع ضمن نطاق واجهة سطر الأوامر (CLI) بالكتابة فوق التكوين عبر أرشيف Teleporter، على الرغم من أن نقطة النهاية `/api/config` كانت تمنع بشكل صحيح جلسات واجهة سطر الأوامر (CLI) من تغيير التكوين. ويرجع ذلك إلى ميزة كلمة مرور واجهة سطر الأوامر (webserver.api.cli pw) المخصصة لتغييرات التكوين للقراءة فقط. التوصيات التحديث إلى الإصدار 6.6 أو أحدث.

توجد ثغرة XSS (التنفيذ البرمجي عبر المواقع) مرتدة قائمة على DOM في ملف `taillog.js`. يمكن لمهاجم غير مصدق إدخال كود HTML تعسفي في واجهة الإدارة عن طريق إنشاء رابط URL ضار. يحدث هذا لأن معلمة الاستعلام `file` يتم إدراجها في تعيين `innerHTML` دون إجراء الهروب المناسب. بالإضافة إلى ذلك، تفتقر سياسة أمان المحتوى (Content-Security-Policy) إلى توجيه `form-action`، مما يسمح لعناصر `<form>` التي تم إدخالها بتسريب بيانات الاعتماد إلى مصدر خارجي.