Mzalzahrani

Name of the Vulnerable Software and Affected Versions Pi-hole FTL versões 6.0 através de 6.5 Description Pi-hole FTL fornece uma API interativa e também gera estatísticas para a interface web do Pi-hole. As versões 6.0 a 6.5 contêm uma falha de bypass de autorização relacionada à API Teleporter. Especificamente, o endpoint `/api/teleporter` permitia que sessões com escopo CLI sobrescrevessem a configuração por meio de um arquivo Teleporter, apesar de o endpoint `/api/config` bloquear corretamente as sessões CLI de mutar a configuração. Isso se deve ao recurso de senha CLI (webserver.api.cli pw) destinado a alterações de configuração somente leitura. Recommendations Atualize para a versão 6.6 ou posterior.

Um problema de XSS (Cross-Site Scripting) reflexo baseado em DOM existe em `taillog.js`. Um invasor não autenticado pode injetar HTML arbitrário na interface de administração ao criar uma URL maliciosa. Isso ocorre porque o parâmetro de consulta `file` é interpolado em uma atribuição `innerHTML` sem a devida filtragem. Além disso, a Política de Segurança de Conteúdo (Content-Security-Policy) carece de uma diretiva `form-action`, o que permite que elementos `<form>` injetados exfiltrem credenciais para uma origem externa.