プラットフォーム
javascript
コンポーネント
pi-hole/web
修正版
6.0.1
Pi-hole Admin Interfaceは、ネットワークレベルの広告およびインターネットトラッカーブロックアプリケーションであるPi-holeを管理するためのWebインターフェースです。バージョン6.0.0から6.5未満において、/api/configエンドポイントからの設定値がエスケープ処理なしでsettings-advanced.jsのHTML属性に直接埋め込まれる脆弱性が存在します。これにより、攻撃者はUIのスタイルを変更する可能性があります。バージョン6.5.0でこの問題は修正されています。
CVE-2026-33406 は、ネットワークレベルの広告およびインターネットトラッカーブロックアプリケーションである Pi-hole の Web インターフェースに影響を与えます。バージョン 6.0 から 6.5 未満まで、/api/config エンドポイントから取得された構成値が settings-advanced.js ファイル内の HTML 'value=' 属性にエスケープなしで直接配置されます。これにより、HTML 属性インジェクションが可能になります。構成値内の二重引用符の存在は、属性コンテキストを破ります。サーバーのコンテンツセキュリティポリシー (CSP) (script-src 'self') によって JavaScript の実行がブロックされていますが、挿入された属性を使用してページの動作を操作できます。ただし、任意のコードの実行は可能性が低いです。この脆弱性を利用すると、攻撃者が Pi-hole 管理インターフェースの外観または動作を変更し、ユーザーを欺いたり、設定を変更したりする可能性があります。
Pi-hole Web インターフェースにアクセスできる攻撃者 (たとえば、侵害されたローカルネットワーク経由、または Web インターフェースが適切な保護なしでパブリックに公開されている場合) は、この脆弱性を悪用する可能性があります。攻撃者は、構成値に悪意のある HTML 属性を挿入し、管理インターフェースを操作する可能性があります。JavaScript の実行がブロックされているにもかかわらず、属性インジェクションを使用してフィッシング攻撃を実行したり、情報の表示を変更して管理者と混乱させたりする可能性があります。CSP によって課される制限により、この脆弱性の深刻度は中程度と見なされますが、インターフェースの操作の可能性は更新を正当化します。
エクスプロイト状況
EPSS
0.04% (12% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性の修正方法は、Pi-hole をバージョン 6.5.0 以降にアップグレードすることです。このバージョンには、HTML 属性に挿入する前に構成値を適切にエスケープする修正が含まれており、属性インジェクションのリスクを軽減します。潜在的な攻撃からネットワークを保護するために、できるだけ早く Pi-hole をアップグレードすることをお勧めします。Pi-hole の更新を定期的に確認し、速やかに適用してください。更新は、この脆弱性を修正し、Pi-hole システムのセキュリティを維持する最も効果的な方法です。
Actualice la interfaz web de Pi-hole a la versión 6.5 o superior para mitigar la vulnerabilidad de inyección de atributos HTML. Esta actualización corrige el problema al escapar correctamente los valores de configuración en el archivo settings-advanced.js, previniendo la manipulación de la interfaz de usuario.
脆弱性分析と重要アラートをメールでお届けします。
Pi-hole は、DNS サーバーおよびネットワークレベルの広告およびトラッカーブロッカーとして機能するオープンソースソフトウェアです。
これは、攻撃者が Web ページに悪意のある HTML コードを挿入できる攻撃技術であり、その外観または動作を変更できます。
任意のコードの実行は可能性が低いものの、この脆弱性を利用すると、攻撃者が Pi-hole 管理インターフェースを操作し、混乱や設定の変更につながる可能性があります。
すぐに Pi-hole を更新できない場合は、Pi-hole Web インターフェースが強力なパスワードで保護され、信頼できるローカルネットワークからのみアクセスできることを確認してください。
National Vulnerability Database (NVD) などの脆弱性データベースで、CVE-2026-33406 に関する詳細情報を入手できます。