JVNDB-2026-007177

Pi-holeのWeb Interfaceにおける複数の脆弱性

Pi-hole管理インターフェースは、ネットワークレベルの広告およびインターネットトラッカーをブロックするアプリケーションであるPi-holeを管理するためのウェブインターフェースです。バージョン6.4およびそれ以前のバージョンには、ローカルDNSレコード構成ページを介した保存型HTMLインジェクションの脆弱性が存在しており、認証済みの管理者はコードを注入してPi-hole構成に保存でき、DNSレコードテーブルが表示されるたびにそのコードがレンダリングされます。populateDataTable()関数には、ユーザーが入力しAPIから返された完全なDNSレコード値を含むdata変数があり、この値は特殊文字のエスケープやサニタイズをせずにdata-tag HTML属性に直接挿入されます。攻撃者がダブルクォート("）を含む値を提供すると、data-tag属性を早期に閉じて要素に追加のHTML属性を注入できます。Pi-holeはインラインJavaScriptをブロックするコンテンツセキュリティポリシー（CSP）を実装しているため、影響は限定的です。この問題はバージョン6.4.1で修正されました。

Pi-hole

• Web Interface 6.4.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Stored HTML Injection in Pi-hole Web Interface via Local DNS Records (CNAME/Hosts) in data-tag Attribute  Advisory  pi-hole/web  GitHub

1. 不適切なエンコード、または出力のエスケープ(CWE-116) [その他]
2. 不適切な入力確認(CWE-20) [その他]
3. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-26952

1. National Vulnerability Database (NVD) : CVE-2026-26952
2. 関連文書 : Release v6.4.1  pi-hole/web  GitHub
3. 関連文書 : Merge commit from fork  pi-hole/web@d328f14  GitHub

• [2026年03月16日]
    掲載