PT-2021-19935 · Unknown · Pi-Hole Web Interface
Dariusz Gońda
+1
·
Publicado
2021-08-04
·
Atualizado
2021-08-12
·
CVE-2021-32793
CVSS v3.1
5.7
Média
| Vetor | AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:H |
Nome do software vulnerável e versões afetadas
Versões da interface web do Pi-hole anteriores à 5.5.1
Descrição
A interface web do Pi-hole apresenta uma vulnerabilidade de cross-site-scripting (XSS) armazenada na função de adicionar domínios a listas de bloqueio ou de permissão. Essa vulnerabilidade existe porque a entrada do usuário adicionada como um domínio curinga a uma lista de bloqueio ou de permissão não é filtrada na interface web, permitindo uma vulnerabilidade XSS persistente. Um invasor remoto pode atacar contas de usuários administrativos por meio de ataques do lado do cliente.
Recomendações
Para versões anteriores à 5.5.1, atualize para a versão 5.5.1 da interface web do Pi-hole para resolver o problema. Como solução temporária, considere restringir o acesso às funções de lista de bloqueio e lista de permissão até que a atualização seja aplicada. Evite usar entradas do usuário não filtradas como domínios curinga em listas de bloqueio ou de permissão até que o problema seja resolvido.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Pi-Hole Web Interface