JVNDB-2026-010398

Pi-holeのWeb InterfaceにおけるOS コマンドインジェクションの脆弱性

Pi-hole管理インターフェースは、Pi-holeを管理するためのウェブインターフェースであり、Pi-holeはネットワークレベルで広告およびインターネットトラッカーをブロックするアプリケーションです。バージョン6.0以前には、savesettings.phpファイルに重大なOSコマンドインジェクションの脆弱性が存在していました。このアプリケーションは、ユーザーが制御する$_POST['webtheme']パラメータを受け取り、それをPHPのexec()関数で実行されるシステムコマンドに直接連結します。入力はシェルに渡される前にサニタイズや検証が一切行われないため、攻撃者は意図されたpiholeコマンドに任意のシステムコマンドを追加することが可能です。さらに、このコマンドはsudo権限で実行されるため、注入されたコマンドは昇格された（おそらくroot）権限で実行されます。バージョン6.0でこの問題は修正されました。

Pi-hole

• Web Interface 6.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : [V5] Command Injection Vulnerability in Pi-hole Web Interface  Advisory  pi-hole/web  GitHub

1. OSコマンドインジェクション(CWE-78) [その他]

1. CVE-2026-33765

1. National Vulnerability Database (NVD) : CVE-2026-33765

• [2026年04月09日]
    掲載