PT-2021-23150 · Pi-Hole · Pi-Hole

Robert Punnett + 1 · Publicado 2021-10-26 · Atualizado 2021-10-28 · CVE-2021-41175

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Pi-hole anteriores à 5.8

Descrição

O problema afeta a interface web do Pi-hole, que é baseada no AdminLTE, permitindo a execução de scripts entre sites (cross-site scripting) ao adicionar um cliente pela página de gerenciamento de grupos e clientes. Esse problema foi corrigido na versão 5.8.

Recomendações

Para versões anteriores à 5.8, atualize para a versão 5.8 para resolver o problema. Como solução temporária, considere restringir o acesso à página de gerenciamento de grupos e clientes até que a atualização seja aplicada.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-41175

GHSA-MHR8-7RVG-8R43

Produtos afetados

Pi-Hole

Referências · 7

• 🔥 https://github.com/pi-hole/AdminLTE/security/advisories/GHSA-mhr8-7rvg-8r43 · Exploit
• https://github.com/pi-hole/AdminLTE/commit/01191c7a1b8d5032991ed9d88e0db8d3dbec744d · Correção
• https://github.com/pi-hole/AdminLTE/releases/tag/v5.8 · Nota
• https://t.me/cibsecurity/31225 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-41175 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41175 · Nota de Segurança
• https://t.me/cvenotify/22608 · Publicação no Telegram