PT-2026-30654

CVE-2026-33405

Publicado

2026-04-06

Atualizado

2026-04-06

Descrição por

CVSS 3.1

4.8

Média

MétricasAV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Pi-hole Admin Interface versões 6.0 a 6.4

Descrição A função formatInfo() em queries.js renderiza data.upstream, data.client.ip e data.ede.text em HTML sem a devida filtragem quando um usuário expande uma linha de consulta no Log de Consultas. Isso permite a injeção de HTML armazenado, embora a execução de JavaScript seja impedida pela Política de Segurança de Conteúdo (CSP) do servidor, que é uma camada de segurança que ajuda a detectar e mitigar certos tipos de ataques, incluindo cross-site scripting e injeção de dados.

Recomendações Atualizar para a versão 6.5.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Andrejtomci

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados