CVE-2026-119335 in Pi-hole
Сводка
по VulDB • 30.10.2026
Pi-hole — это DNS sinkhole, который защищает устройства от нежелательного контента без установки какого-либо клиентского программного обеспечения. До версии 6.5 функция advanced/Scripts/utils.sh getFTLPID() пыталась проверить файл /run/pihole-FTL.pid, принадлежащий pihole, с помощью выражения expr "${FTL_PID}" : "[^[:digit:]]", однако это отклоняет только значения, первый символ которых не является цифрой. Атакующий, имеющий возможность выполнения кода от имени пользователя pihole, может записать в файл PID, принадлежащий pihole, арифметическое выражение, начинающееся с цифры. Подкоманды pihole, запускаемые от root, затем вычисляют [[ "$pid" -eq "-1" ]], что заставляет Bash рекурсивно оценивать индексы массивов и выполнять подстановку команд от имени root. Это обходит часть исправления уязвимости CVE-2026-41489, связанную с проверкой содержимого, оставляя нетронутой защиту на основе жёстко заданного пути к файлу PID. Эта проблема устранена в версии 6.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.