PT-2026-30628
CVE-2026-33406
·
تاريخ النشر
2026-04-06
·
تاريخ التحديث
2026-04-06
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
واجهة إدارة Pi-hole من الإصدار 6.0 إلى 6.4
الوصف
يتم إدراج قيم التكوين الواردة من نقطة النهاية ’/api/config‘ في سمات قيم HTML دون إجراء عملية التهرب (escaping) المناسبة في ملف settings-advanced.js، مما يسمح بحقن سمات HTML. وتسمح علامة الاقتباس المزدوجة الموجودة في إحدى قيم التكوين للمهاجم بالخروج من سياق السمة. ورغم أن سياسة أمان المحتوى (CSP) الخاصة بالخادم — وهي طبقة أمان تساعد في الكشف عن أنواع معينة من الهجمات والتخفيف من آثارها، بما في ذلك الهجمات عبر البرمجة النصية بين المواقع (XSS) — تمنع تنفيذ JavaScript، إلا أنه يمكن استخدام السمات المُحقنة لتعديل واجهة المستخدم عن طريق تغيير أنماط العناصر. ويتمثل مسار الهجوم الرئيسي في استيراد نسخة احتياطية خبيثة لبرنامج teleporter، مما يتجاوز عملية التحقق من صحة الحقول الفردية من جانب الخادم.
التوصيات
تحديث واجهة إدارة Pi-hole إلى الإصدار 6.5.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾