CVE-2026-33405 in web
Zusammenfassung
von VulDB • 10.06.2026
Die Pi-hole Admin-Oberfläche ist eine Weboberfläche zur Verwaltung von Pi-hole, einer Anwendung zum Blockieren von Werbung und Internet-Trackern auf Netzwerkebene. Von Version 6.0 bis vor 6.5 rendert die Funktion formatInfo() in queries.js die Daten data.upstream, data.client.ip und data.ede.text als HTML ohne Escaping, wenn ein Benutzer eine Abfragezeile im Query Log erweitert, was zu einer gespeicherten HTML-Injektion (Stored HTML Injection) führt. Die JavaScript-Ausführung wird durch das CSP des Servers (script-src 'self') blockiert. Dieselben Felder werden in der Tabellenansicht (rowCallback) ordnungsgemäß escaped, was bestätigt, dass es sich um einen Übersehfehler handelte. Diese Schwachstelle wurde in Version 6.5 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.