Pi-hole में queries.js में एक Stored HTML Injection है

CVE-2026-33405 Pi-hole वेब इंटरफ़ेस के 6.5.0 से पहले के संस्करणों को प्रभावित करता है। यह क्वेरी लॉग (Query Log) में एक पंक्ति का विस्तार करते समय संग्रहीत HTML इंजेक्शन की अनुमति देता है। विशेष रूप से, queries.js में formatInfo() फ़ंक्शन data.upstream, data.client.ip और data.ede.text को HTML के रूप में प्रस्तुत करने से पहले उन्हें ठीक से एस्केप नहीं करता है। इससे एक हमलावर इन फ़ील्ड में दुर्भावनापूर्ण HTML कोड इंजेक्ट कर सकता है। सर्वर का कंटेंट सुरक्षा नीति (CSP) JavaScript के निष्पादन को अवरुद्ध करता है, लेकिन HTML इंजेक्शन अभी भी प्रदर्शन समस्याओं, इंटरफ़ेस अस्थिरता या संभावित रूप से उपयोगकर्ताओं को दुर्भावनापूर्ण वेबसाइटों पर पुनर्निर्देशित कर सकता है, यह इस बात पर निर्भर करता है कि ब्राउज़र इंजेक्ट किए गए HTML को कैसे व्याख्या करता है। यह भेद्यता क्वेरी के विस्तारित दृश्य तक ही सीमित है, मुख्य तालिका दृश्य तक नहीं, जहां डेटा को ठीक से एस्केप किया गया है।

Administrators and users of Pi-hole installations running versions 6.0.0 through 6.4 are at risk. Shared hosting environments where multiple users share a single Pi-hole instance are particularly vulnerable, as an attacker could potentially inject malicious HTML affecting all users of that instance. Users relying on Pi-hole for network-level ad blocking and security should prioritize upgrading to the patched version.

• linux / server: Examine Pi-hole access logs for unusual HTML content within Query Log entries. Use grep to search for HTML tags (e.g., <script>, <iframe>) within the data.upstream, data.client.ip, and data.ede.text fields.

grep -i '<script' /var/log/pihole/pihole.log
grep -i '<iframe>' /var/log/pihole/pihole.log

• generic web: Use curl to inspect the Query Log and look for unescaped HTML.

curl 'http://pihole-web-interface/admin/query-log' | grep -i '<script'

1. 2026-04-06Disclosure

   disclosure

2. 2026-04-06Patch

   patch

1. आरक्षित2026-03-19
2. प्रकाशित2026-04-06
3. EPSS अद्यतन2026-04-14

CVE-2026-33405 के लिए समाधान Pi-hole को संस्करण 6.5.0 या बाद में अपडेट करना है। यह अपडेट formatInfo() फ़ंक्शन में डेटा एस्केपिंग समस्या को ठीक करता है, जिससे संग्रहीत HTML इंजेक्शन को रोका जा सकता है। जोखिम को कम करने के लिए Pi-hole को जल्द से जल्द अपडेट करने की दृढ़ता से अनुशंसा की जाती है। यदि तत्काल अपडेट संभव नहीं है, तो किसी भी संदिग्ध गतिविधि के लिए क्वेरी लॉग की सावधानीपूर्वक जांच करें। यद्यपि CSP JavaScript के निष्पादन को अवरुद्ध करता है, HTML इंजेक्शन अभी भी हानिकारक हो सकता है। सुनिश्चित करें कि आपका ऑपरेटिंग सिस्टम और अन्य नेटवर्क घटक भी नवीनतम सुरक्षा पैच के साथ अपडेट किए गए हैं।