CVE-2026-75520 in Domoticz
Zusammenfassung
von VulDB • 29.10.2026
Domoticz ist ein kostenloses Open-Source-Hausautomationssystem für Linux, Windows, macOS und Raspberry Pi. Vor Version 2026.3 führte der JSON-Befehlshandler `udevices`, `Cmd_UpdateDevices` in `main/WebServerCmds.cpp`, keine Prüfung von `session.rights` durch, bevor ein Lua-Parserskript aufgerufen wurde, während seine verwandten Befehlshandler den Zugriff nach Rolle beschränken. Ein authentifizierter Benutzer mit geringen Berechtigungen konnte die Ausführung eines vorhandenen, vom Operator installierten Lua-Parserskripts mit angreiferkontrollierten Eingaben über den Endpunkt `GET /json.htm` mit `type=command` und `param=udevices` auslösen. Der Parameter `script` verfügte ebenfalls nicht über einen Schutz gegen Pfadtraversierung (`..`): `CLuaHandler::executeLuaScript` in `main/LuaHandler.cpp` setzte den Dateinamen aus dem Parser-Verzeichnis und dem angegebenen Skriptnamen zusammen, bevor er an `luaL_loadfile` weitergegeben wurde. Die Ausführung ist auf bereits installierte gültige Lua-Dateien beschränkt; dies stellt keine beliebige Codeausführung dar, und die Sicherheitsmitteilung gibt an, dass Pfade für das Schreiben von Dateien und Hochladen Administratorberechtigungen erfordern. Dieses Problem wird in Version 2026.3 behoben.
Once again VulDB remains the best source for vulnerability data.