T0X1Cx

**Name of the Vulnerable Software and Affected Versions** FTLDNS (pihole-FTL) versões 6.0 através de 6.5 **Description** O mecanismo Pi-hole FTL contém uma questão de Execução Remota de Código (RCE) no parâmetro de configuração de registros CNAME DNS (`dns.cnameRecords`). Um invasor autenticado pode injetar diretivas de configuração arbitrárias do dnsmasq por meio de caracteres de nova linha, levando à execução de comandos no sistema. **Recommendations** Atualize para a versão 6.6 ou posterior.

Name of the Vulnerable Software and Affected Versions FTLDNS (pihole-FTL) versões 6.0 através de 6.5 Description O mecanismo Pi-hole FTL contém uma questão de Execução Remota de Código (RCE) no parâmetro de configuração de hosts DHCP (`dhcp.hosts`). Um atacante autenticado pode injetar diretivas de configuração dnsmasq arbitrárias por meio de caracteres de nova linha, levando à execução de comandos no sistema. Recommendations Atualize para a versão 6.6 ou posterior.

Name of the Vulnerable Software and Affected Versions FTLDNS (pihole-FTL) versões 6.0 através de 6.5 Description O motor Pi-hole FTL contém uma questão de Execução Remota de Código (RCE) no parâmetro de configuração do tempo de concessão DHCP (`dhcp.leaseTime`). Um atacante autenticado pode injetar diretivas de configuração dnsmasq arbitrárias através de caracteres de nova linha, levando à execução de comandos no sistema. Recommendations Atualize para a versão 6.6 ou posterior.

Name of the Vulnerable Software and Affected Versions FTLDNS (pihole-FTL) versões 6.0 através de 6.5 Description O mecanismo Pi-hole FTL contém uma questão de Execução Remota de Código (RCE) no parâmetro de configuração do registro de host DNS (`dns.hostRecord`). Um atacante autenticado pode injetar diretivas de configuração arbitrárias do dnsmasq por meio de caracteres de nova linha, levando à execução de comandos no sistema. Recommendations Atualize para a versão 6.6 ou posterior.

**Name of the Vulnerable Software and Affected Versions** util-linux versões anteriores a 2.41.4 **Description** Uma vulnerabilidade Time-of-Check-Time-of-Use (TOCTOU) existe no binário SUID /usr/bin/mount dentro do util-linux. Ao configurar dispositivos de loop, o binário valida um caminho de arquivo com privilégios de usuário, mas o reabre com privilégios de root sem re-verificação. Isso permite que um usuário local substitua o arquivo por um link simbólico para um arquivo ou dispositivo de propriedade do root durante a janela de corrida, levando ao acesso não autorizado a arquivos e dispositivos de bloco protegidos por root. A exploração requer uma configuração específica /etc/fstab e o bit SUID definido em /usr/bin/mount. **Recommendations** Atualize para a versão 2.41.4 ou posterior.

Name of the Vulnerable Software and Affected Versions FTLDNS (pihole-FTL) versões 6.0 através de 6.5 Description O mecanismo Pi-hole FTL contém uma questão de Execução Remota de Código (RCE) no parâmetro de configuração dos servidores DNS upstream (`dns.upstreams`). Um atacante autenticado pode injetar diretivas de configuração arbitrárias do dnsmasq através de caracteres de nova linha, levando à execução de comandos no sistema. Recommendations Atualize para a versão 6.6 ou posterior.

**Name of the Vulnerable Software and Affected Versions** Pi-hole versions 6.0 through 6.4.0 **Description** Pi-hole Admin Interface, a web interface for managing Pi-hole, a network-level ad and internet tracker blocking application, contains a Stored HTML Injection issue in the active sessions table on the API settings page. An attacker with valid credentials can inject arbitrary HTML code that will be rendered in the browser of any administrator who visits the active sessions page. The `rowCallback` function uses the `data.x forwarded for` value, which is directly concatenated into an HTML string and inserted into the Document Object Model (DOM) using jQuery’s `.html()` method. This allows malicious HTML tags within the `X-Forwarded-For` header to be parsed and rendered by the browser. Attackers can use tools like curl, wget, Python requests, Burp Suite, or JavaScript fetch() to send authentication requests with a crafted `X-Forwarded-For` header. The Content Security Policy (CSP) implemented by Pi-hole blocks inline JavaScript, limiting the impact to HTML injection only. **Recommendations** Update Pi-hole to version 6.4.1 or later.

**Name of the Vulnerable Software and Affected Versions** Pi-hole versions 6.4 and below **Description** Pi-hole Admin Interface, a web interface for managing Pi-hole, a network-level ad and internet tracker blocking application, is susceptible to stored HTML injection through the local DNS records configuration page. An authenticated administrator can inject code that is stored in the Pi-hole configuration and rendered when the DNS records table is viewed. The `populateDataTable()` function includes a `data` variable containing the full DNS record value, which is directly inserted into the data-tag HTML attribute without proper escaping or sanitization. An attacker can exploit this by supplying a value containing double quotes (") to prematurely close the data-tag attribute and inject additional HTML attributes. The impact is limited due to Pi-hole’s Content Security Policy (CSP) that blocks inline JavaScript. **Recommendations** Update to version 6.4.1 or later.

**Nome do Software Vulnerável e Versões Afetadas** Versões da Interface de Administração do Pi-hole anteriores à 6.3 **Descrição** A Interface de Administração do Pi-hole, uma interface web para gerenciar a aplicação de bloqueio de anúncios e rastreadores de internet do Pi-hole, contém uma falha de injeção de Carriage Return Line Feed (CRLF). Ao processar requisições para arquivos com a extensão .lp, a aplicação falha em sanitizar adequadamente a entrada, permitindo que atacantes injetem caracteres de retorno de carro e avanço de linha (%0d%0a). Isso possibilita a manipulação de cabeçalhos e conteúdo de resposta HTTP, potencialmente levando à fixação de sessão, envenenamento de cache e enfraquecimento de mecanismos de segurança do navegador, como Content Security Policy ou X-XSS-Protection. A vulnerabilidade ocorre quando uma requisição é feita para um arquivo com a extensão .lp e a aplicação realiza um redirecionamento sem a sanitização adequada da entrada. **Recomendações** Atualize para a versão 6.3 ou superior.

**Nome do software vulnerável e versões afetadas** Versões do Pi-hole anteriores à 5.18.3 **Descrição** O Pi-hole é um sinkhole de DNS que protege dispositivos contra conteúdos indesejados sem a necessidade de instalar nenhum software no lado do cliente. Uma vulnerabilidade permite que um usuário autenticado faça solicitações internas ao servidor por meio da função `gravity DownloadBlocklistFromUrl()`. Dependendo de algumas circunstâncias, a vulnerabilidade pode levar à execução remota de comandos. **Recomendações** Para versões anteriores à 5.18.3, atualize para a versão 5.18.3 para resolver o problema. Como solução temporária, considere restringir o acesso à função `gravity DownloadBlocklistFromUrl()` até que o patch seja aplicado.

**Nome do software vulnerável e versões afetadas** Versões do Pihole anteriores à 5.18 **Descrição** Foi descoberta uma vulnerabilidade no Pihole que permite que um usuário autenticado na plataforma leia arquivos internos do servidor de forma arbitrária; e, como o aplicativo é executado em segundo plano, a leitura dos arquivos é feita com privilégios de usuário. O problema reside na atualização por meio de arquivos locais. Ao atualizar a partir de um arquivo que contenha linhas fora do domínio, 5 dessas linhas são exibidas na tela; portanto, se você fornecer qualquer arquivo no servidor que contenha linhas fora do domínio, elas serão exibidas na tela. **Recomendações** Para versões do Pihole anteriores à 5.18, atualize para a versão 5.18 para corrigir a vulnerabilidade. Como solução temporária, considere restringir o acesso à funcionalidade de atualização por meio de arquivos locais para minimizar o risco de exploração. Evite usar o recurso `Adslists` com URLs que comecem com “file*” até que o problema seja resolvido.