PT-2026-30654 · Pi-Hole · Pi-Hole Admin Interface
CVSS v3.1
4.8
Média
| Vetor | AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Pi-hole Admin Interface versões 6.0 a 6.4
Descrição
A função
formatInfo() em queries.js renderiza data.upstream, data.client.ip e data.ede.text em HTML sem a devida filtragem quando um usuário expande uma linha de consulta no Log de Consultas. Isso permite a injeção de HTML armazenado, embora a execução de JavaScript seja impedida pela Política de Segurança de Conteúdo (CSP) do servidor, que é uma camada de segurança que ajuda a detectar e mitigar certos tipos de ataques, incluindo cross-site scripting e injeção de dados.Recomendações
Atualizar para a versão 6.5.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Pi-Hole Admin Interface