JVNDB-2026-007176

Pi-holeのWeb Interfaceにおける複数の脆弱性

Pi-hole管理インターフェースは、ネットワークレベルの広告およびインターネットトラッカーをブロックするためのアプリケーションであるPi-holeを管理するウェブインターフェースです。バージョン6.0以降には、API設定ページのアクティブセッションテーブルに保存されているHTMLインジェクションの脆弱性が存在します。有効な認証情報を持つ攻撃者は任意のHTMLコードを注入でき、アクティブセッションページを訪れる管理者のブラウザでそのコードをレンダリングさせることが可能です。rowCallback関数は値data.x_forwarded_forを含み、これが直接HTML文字列に連結されてjQueryの.html()メソッドを使ってDOMに挿入されます。このメソッドは内容をHTMLとして解釈するため、値に含まれるHTMLタグはブラウザで解析・表示されます。攻撃者はcurl、wget、Python requests、Burp Suite、あるいはJavaScriptのfetch()などの一般的なツールを利用して、正当なIPアドレスの代わりに悪意のあるHTMLコードを含むX-Forwarded-Forヘッダーで認証リクエストを送信できます。Pi-holeはインラインJavaScriptをブロックするコンテンツセキュリティポリシー（CSP）を実装しているため、影響は純粋なHTMLインジェクションに限定されており、スクリプトの実行はできません。この問題はバージョン6.4.1で修正されました。

Pi-hole

• Web Interface 6.0 以上 6.4.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Stored HTML Injection in Pi-hole Web Interface via X-Forwarded-For Header in Active Sessions Table  Advisory  pi-hole/web  GitHub

1. 不適切なエンコード、または出力のエスケープ(CWE-116) [その他]
2. 不適切な入力確認(CWE-20) [その他]
3. クロスサイトスクリプティング(CWE-79) [NVD評価]
4. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-26953

1. National Vulnerability Database (NVD) : CVE-2026-26953
2. 関連文書 : Release v6.4.1  pi-hole/web  GitHub
3. 関連文書 : Merge commit from fork  pi-hole/web@1a0c6f4  GitHub

• [2026年03月16日]
    掲載