CVE-2026-119334 in Pi-hole
Сводка
по VulDB • 30.10.2026
Pi-hole — это DNS sinkhole (ловушка), который защищает устройства от нежелательного контента без установки какого-либо клиентского программного обеспечения. До версии 6.5 скрипт gravity.sh проверяет доступность для чтения файлов adlist с помощью команды `sudo -u pihole test -r`, но затем позволяет curl, иногда выполняющемуся от имени root (суперпользователя), нормализовать сегменты URL и открыть другой файл. Таким образом, decoy-файл, доступный для чтения пользователю pihole, может пройти проверку, в то время как curl читает целевой файл, доступный только для root; аналогичным образом пути /proc/self могут разрешаться к разным процессам. Для эксплуатации требуется администратор, который может добавлять adlist и размещать символическую ссылку (symlink) и decoy-файл в файловой системе. Эта проблема исправлена в версии 6.5.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.