CVE-2026-33406 in web
الملخص
بحسب VulDB • 09/05/2026
واجهة إدارة Pi-hole هي واجهة ويب لإدارة Pi-hole، وهو تطبيق لحجب الإعلانات وتتبع الإنترنت على مستوى الشبكة. من الإصدار 6.0 وحتى قبل الإصدار 6.5، يتم وضع قيم التكوين من نقطة النهاية /api/config مباشرةً داخل سمات HTML value="" دون تهريب (escaping) في ملف settings-advanced.js، مما يتيح حقن سمات HTML. يؤدي وجود علامة اقتباس مزدوجة في أي قيمة تكوين إلى الخروج من سياق السمة. يتم حظر تنفيذ JavaScript بواسطة سياسة أمان محتوى الخادم (CSP) (script-src 'self')، لكن السمات المحقونة يمكن أن تغير تنسيق العناصر لإجراء إعادة تنسيق واجهة المستخدم (UI redressing). تمثل نقطة الهجوم الرئيسية استيراد نسخة احتياطية خبيثة من Teleporter، والتي تتجاوز التحقق من الصحة الجانبي للخادم لكل حقل. تم إصلاح هذا الثغرة في الإصدار 6.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.