CVE-2020-8816criticalbajo ataqueCWE-78

CVE-2020-8816

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear AdminLTE

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.1epss 78%
de la publicación al armael mismo día
Publicada en NVD29 may
1ª PoC10 may
metasploit28 mar
CISA KEV+560d
Acción exigida por CISAplazo federal: 2022-06-10

Apply updates per vendor instructions.

En resumen

Pi-hole Web v4.3.2 permite que un administrador usando el panel ejecute código arbitrario en el servidor al crear una entrada de arrendamiento estático DHCP especialmente elaborada. Esto es crítico porque un administrador puede comprometer todo el sistema.

Detalle técnico

CWE-78 (Inyección de Comandos del SO) en Pi-hole Web v4.3.2 permite que usuarios autenticados en el panel ejecuten comandos arbitrarios del SO a través de entrada no sanitizada en la configuración de arrendamiento estático DHCP. La vulnerabilidad requiere privilegios administrativos para acceder al panel y crear parámetros de arrendamiento maliciosos que se pasan a comandos del sistema sin escapado apropiado.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Pi-hole Web v4.3.2 (aka AdminLTE) allows Remote Code Execution by privileged dashboard users via a crafted DHCP static lease.
CVSS:3.0/AC:L/AV:N/A:H/C:H/I:H/PR:H/S:C/UI:N
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.