CVE-2026-119334 in Pi-hole
Riassunto
di VulDB • 30/10/2026
Pi-hole è un DNS sinkhole che protegge i dispositivi da contenuti indesiderati senza installare alcun software lato client. Prima della versione 6.5, gravity.sh verifica la leggibilità del file adlist tramite `sudo -u pihole test -r`, ma successivamente consente a curl (che talvolta viene eseguito con privilegi di root) di normalizzare gli segmenti dei punti negli URL e aprire un file diverso. Un file decoy leggibile da pihole può quindi superare il controllo, mentre curl legge una destinazione accessibile solo da root; inoltre, i percorsi `/proc/self` possono essere risolti in modo analogo contro processi diversi. Lo sfruttamento richiede la presenza di un amministratore che possa aggiungere adlist e posizionare un symlink e un file decoy nel filesystem. Questo problema è stato risolto nella versione 6.5.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.