CVE-2026-75520
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W systemie Domoticz przed wersją 2026.3 handler komendy JSON udevices (Cmd_UpdateDevices w main/WebServerCmds.cpp) nie sprawdzał uprawnień session.rights przed uruchomieniem skryptu parsera Lua. Użytkownik z niskimi uprawnieniami mógł wywołać istniejący skrypt parsera z kontrolowanym wejściem przez GET /json.htm, a parametr script nie miał zabezpieczenia przed path traversal. Wykonanie ogranicza się do już zainstalowanych prawidłowych plików Lua, a luka została naprawiona w wersji 2026.3.
Ocena ryzyka
Uwierzytelniony użytkownik z niskimi uprawnieniami może wywołać wykonanie zainstalowanego skryptu Lua z kontrolowanym wejściem, co może prowadzić do nieoczekiwanych działań w systemie automatyki domowej. Ryzyko dotyczy instalacji Domoticz z wieloma kontami użytkowników.
Rekomendacja
Zaktualizuj Domoticz do wersji 2026.3. Do czasu aktualizacji ogranicz liczbę kont o niskich uprawnieniach i monitoruj żądania do endpointu /json.htm z parametrem udevices.
Inne podatności w Domoticz
Zobacz wszystkie- CVE-2026-11425Średnie
Domoticz przed wersją 2026.3 zawiera podatność na przechowywany XSS w mobilnym dashboardzie, która pozwala uwierzytelnionym atakującym na wstrzyknięcie dowolnego HTML i JavaScript poprzez aktualizację wartości urządzeń typu Text lub Alert przez API. Dane są renderowane przez ng-bind-html bez odpowiedniego escapowania, co umożliwia wykonanie złośliwego kodu w przeglądarce administratora.
- CVE-2026-71265Wysokie
Procedura obsługi MochadTCP::MatchLine w Domoticz (hardware/MochadTCP.cpp) kopiuje dane sieciowe z bufora m_mochadbuffer (do 1028 bajtów) do stałego bufora stosowego tempRFSECbuf o rozmiarze 50 bajtów za pomocą strcpy bez sprawdzania długości, w trzech różnych gałęziach kodu (typy urządzeń DS10A/KR10A/MS10A).
- CVE-2026-1001Średnie
W systemie Domoticz przed wersją 2026.1 wykryto podatność na trwałe skryptowanie między witrynami (XSS) w funkcjach dodawania sprzętu i zmiany nazwy urządzenia. Uwierzytelniony administrator może wstrzyknąć złośliwy kod poprzez podanie spreparowanej nazwy zawierającej znaczniki HTML lub skrypty, który jest następnie przechowywany i wykonywany w przeglądarkach innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Domoticz is a free, open source home automation system for Linux, Windows, macOS, and Raspberry Pi. Prior to 2026.3, the `udevices` JSON command handler, `Cmd_UpdateDevices` in `main/WebServerCmds.cpp`, performed no `session.rights` check before invoking a Lua parser script, while its sibling command handlers gate access by role. A low-privilege authenticated user could trigger execution of an existing operator-installed Lua parser script with attacker-controlled input through the `GET /json.htm` endpoint with `type=command` and `param=udevices`. The `script` parameter also lacked a `..` path-traversal guard: `CLuaHandler::executeLuaScript` in `main/LuaHandler.cpp` constructed the filename from the parser directory and the supplied script name before passing it to `luaL_loadfile`. Execution is limited to already-installed valid Lua files; this is not arbitrary code execution, and the advisory states that file-write and upload paths require administrator privileges. This issue is addressed in version 2026.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS