CVE-2026-33406 in web
要約
〜によって VulDB • 2026年05月25日
Pi-hole Admin Interfaceは、Pi-hole（ネットワークレベルの広告およびインターネットトラッカーブロックアプリケーション）を管理するためのWebインターフェースです。バージョン6.0から6.5未満では、/api/configエンドポイントからの設定値がsettings-advanced.js内でエスケープ処理されずにHTMLのvalue=""属性に直接挿入されるため、HTML属性インジェクションが可能になります。設定値内の二重引用符（"）が属性コンテキストから脱出します。サーバーのCSP（script-src 'self'）によりJavaScriptの実行はブロックされますが、インジェクションされた属性を使用してUIのスタイルを変更し、UIリドレスリングを誘発することができます。主な攻撃ベクトルは、悪意のあるteleporterバックアップをインポートすることで、これはフィールドごとのサーバーサイド検証をバイパスします。この脆弱性は6.5で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.