CVE-2026-1001
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W systemie Domoticz przed wersją 2026.1 wykryto podatność na trwałe skryptowanie między witrynami (XSS) w funkcjach dodawania sprzętu i zmiany nazwy urządzenia. Uwierzytelniony administrator może wstrzyknąć złośliwy kod poprzez podanie spreparowanej nazwy zawierającej znaczniki HTML lub skrypty, który jest następnie przechowywany i wykonywany w przeglądarkach innych użytkowników.
Ocena ryzyka
Atakujący może przejąć sesję innego administratora lub użytkownika, wykonać nieautoryzowane operacje w systemie Domoticz, a także potencjalnie uzyskać dostęp do poufnych danych lub zakłócić działanie inteligentnego domu.
Rekomendacja
Należy niezwłocznie zaktualizować Domoticz do wersji 2026.1 lub nowszej, która zawiera poprawkę usuwającą podatność. Dodatkowo warto ograniczyć liczbę administratorów i stosować zasadę najmniejszych uprawnień.
Oryginalny opis (angielski, źródło NVD)
Domoticz versions prior to 2026.1 contain a stored cross-site scripting vulnerability in the Add Hardware and rename device functionality of the web interface that allows authenticated administrators to execute arbitrary scripts by supplying crafted names containing script or HTML markup. Attackers can inject malicious code that is stored and rendered without proper output encoding, causing script execution in the browsers of users viewing the affected page and enabling unauthorized actions within their session context.