Pi-hole's Web interface provides a central location to manage a Pi-hole instance and review performance statistics. Prior to Pi-hole Web interface version 5.5.1, the function to add domains to blocklists or allowlists is vulnerable to a stored cross-site-scripting vulnerability. User input added as a wildcard domain to a blocklist or allowlist is unfiltered in the web interface. Since the payload is stored permanently as a wildcard domain, this is a persistent XSS vulnerability. A remote attacker can therefore attack administrative user accounts through client-side attacks. Pi-hole Web Interface version 5.5.1 contains a patch for this vulnerability.
La interfaz web de Pi-hole proporciona una ubicación central para administrar una instancia de Pi-hole y revisar las estadísticas de rendimiento. Anterior a versión 5.5.1 de la interfaz web de Pi-hole, la función para añadir dominios a las listas de bloqueo o a las listas de permitidos es vulnerable a una vulnerabilidad de tipo cross-site-scripting almacenado. La entrada del usuario añadida como dominio comodín a una lista de bloqueo o lista permitida no se filtra en la interfaz web. Dado que la carga útil es almacenado permanentemente como dominio comodín, se trata de una vulnerabilidad de tipo XSS persistente. Por lo tanto, un atacante remoto puede atacar cuentas de usuario administrativas mediante ataques del lado del cliente. La versión 5.5.1 de la interfaz web de Pi-hole contiene un parche para esta vulnerabilidad
