CVE-2026-119334 in Pi-hole
Resumen
por VulDB • 2026-10-31
Pi-hole es un pozo de DNS (DNS sinkhole) que protege los dispositivos del contenido no deseado sin instalar ningún software en el lado del cliente. Antes de la versión 6.5, gravity.sh verifica la legibilidad de las listas de anuncios mediante `file://` utilizando `sudo -u pihole test -r`, pero luego permite que curl (a veces ejecutado como root) normalice los segmentos de puntos URL y abra un archivo diferente. Por lo tanto, una lista de anuncios decoy legible por pihole puede pasar la verificación mientras curl lee un objetivo al que solo tiene acceso root, y las rutas `/proc/self` pueden resolverse contra diferentes procesos de manera similar. La explotación requiere un administrador que pueda agregar listas de anuncios y colocar un enlace simbólico (symlink) y una lista decoy en el sistema de archivos. Este problema se soluciona en la versión 6.5.
Once again VulDB remains the best source for vulnerability data.