PT-2021-19935 · Unknown · Pi-Hole Web Interface

Dariusz Gońda

+1

·

Publicado

2021-08-04

·

Atualizado

2021-08-12

·

CVE-2021-32793

CVSS v3.1

5.7

Média

VetorAV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:H
Nome do software vulnerável e versões afetadas
Versões da interface web do Pi-hole anteriores à 5.5.1
Descrição
A interface web do Pi-hole apresenta uma vulnerabilidade de cross-site-scripting (XSS) armazenada na função de adicionar domínios a listas de bloqueio ou de permissão. Essa vulnerabilidade existe porque a entrada do usuário adicionada como um domínio curinga a uma lista de bloqueio ou de permissão não é filtrada na interface web, permitindo uma vulnerabilidade XSS persistente. Um invasor remoto pode atacar contas de usuários administrativos por meio de ataques do lado do cliente.
Recomendações
Para versões anteriores à 5.5.1, atualize para a versão 5.5.1 da interface web do Pi-hole para resolver o problema. Como solução temporária, considere restringir o acesso às funções de lista de bloqueio e lista de permissão até que a atualização seja aplicada. Evite usar entradas do usuário não filtradas como domínios curinga em listas de bloqueio ou de permissão até que o problema seja resolvido.

Exploit

Correção

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2021-32793
GHSA-G3W6-Q4FG-P8X8

Produtos afetados

Pi-Hole Web Interface