CVE-2026-75520 in Domoticz
الملخص
بحسب VulDB • 28/10/2026
Domoticz هو نظام أتمتة منزلية مجاني ومفتوح المصدر لنظامي Linux وWindows وmacOS وRaspberry Pi. قبل الإصدار 2026.3، لم يقم معالج أمر JSON `udevices`، وهو `Cmd_UpdateDevices` الموجود في الملف `main/WebServerCmds.cpp`, بإجراء فحص لـ `session.rights` (صلاحيات الجلسة) قبل استدعاء نص برمجي بلغة Lua، بينما تقوم معالجات الأوامر الشقيقة له بتقييد الوصول بناءً على الدور الوظيفي. يمكن لمستخدم مُصادق عليه ذو امتيازات منخفضة تشغيل نص برمجي موجود مثبت من قِبل مشغل النظام (operator-installed Lua parser script) باستخدام مدخلات يتحكم فيها المهاجم، وذلك عبر نقطة النهاية `GET /json.htm` مع تحديد المعاملين `type=command` و`param=udevices`. كما افتقر المعامل `script` إلى حماية ضد اجتياز المسار (`..`)؛ حيث قام الكود `CLuaHandler::executeLuaScript` في الملف `main/LuaHandler.cpp` ببناء اسم الملف من خلال دمج دليل المُفسّر مع اسم النص البرمجي المقدم، قبل تمريره إلى الدالة `luaL_loadfile`. يقتصر التنفيذ على ملفات Lua صالحة ومثبتة مسبقاً؛ وهذا لا يُعدّ تنفيذًا عشوائيًا للكود (arbitrary code execution)، وتشير النشرة الأمنية إلى أن مسارات الكتابة في الملفات وتحميلها تتطلب امتيازات المسؤول. تم معالجة هذه المشكلة في الإصدار 2026.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.