CVE-2026-33406 CVSS 5.4 中危

CVE-2026-33406 Pi-hole HTML属性注入漏洞

披露日期: 2026-04-06

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-33406

漏洞类型

HTML属性注入

CVSS评分

5.4 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Pi-hole Admin Interface

漏洞概述

Pi-hole Admin Interface 6.0至6.5之前版本存在HTML属性注入漏洞。由于在settings-advanced.js中对/api/config端点返回的配置值未进行转义处理，直接将其放入HTML value属性中，攻击者可利用恶意Teleporter备份绕过服务端验证注入恶意属性。尽管CSP阻止了脚本执行，但攻击者仍可修改元素样式进行UI重整攻击。

技术细节

该漏洞位于Pi-hole Admin Interface的settings-advanced.js组件中。当系统从/api/config端点获取配置值时，未对数据进行适当的HTML实体编码，直接将其渲染到HTML标签的value=""属性内。攻击者可以在配置值中插入双引号（"），从而闭合当前属性并注入新的HTML属性（如style）。虽然服务器的CSP策略（script-src 'self'）有效阻止了恶意JavaScript脚本的执行，避免了传统的存储型XSS，但注入的CSS样式属性仍可用于点击劫持或界面伪装（UI Redressing）。主要的攻击路径是通过导入包含恶意Payload的Teleporter备份文件，该文件导入过程会绕过常规的单个字段服务器端验证，导致恶意配置被写入数据库并随后在前端被解析。

攻击链分析

STEP 1

攻击者准备一个包含恶意配置值的Pi-hole Teleporter备份文件，该值包含用于HTML属性注入的Payload（如双引号和style属性）。

STEP 2

攻击者诱导具有Pi-hole管理权限的用户导入该恶意的备份文件。

STEP 3

Pi-hole处理导入请求，由于Teleporter导入逻辑绕过了常规的逐字段服务器端验证，恶意配置值被写入数据库。

STEP 4

当管理员访问管理界面（特别是高级设置页面）时，前端JavaScript从/api/config获取配置。

STEP 5

settings-advanced.js将未经过滤的配置值渲染到HTML属性中，导致注入的style属性生效，实施UI重整攻击，虽然无法执行JS，但可篡改界面显示。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

// PoC Concept: Injecting style attribute via Teleporter backup
// The payload below breaks out of the value attribute using a double quote.
// It then injects a style attribute to perform UI redressing (e.g., hiding elements).
// Note: JavaScript execution is blocked by CSP, but style injection works.

const maliciousPayload = 'default" style="display:none; position:fixed; top:0; left:0; width:100%; height:100%; background:url(https://attacker.com/fake-login.png); z-index:9999" data="';

/*
Example of how this might appear in a Teleporter backup JSON:
{
  "config": {
    "some_setting_key": "default\" style=\"display:none...\" data=\""
  }
}

When rendered in settings-advanced.js:
<input value="default" style="display:none..." data="" />
*/

影响范围

Pi-hole Admin Interface 6.0 至 6.5 之前版本

防御指南

临时缓解措施

建议用户尽快升级至官方发布的最新版本（6.5及以上）。在升级之前，请勿导入非官方或来历不明的配置备份文件，并定期检查管理后台的界面是否存在异常样式或布局变化。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表