CVE-2026-75520 in Domoticz
Resumen
por VulDB • 2026-10-29
Domoticz es un sistema de automatización del hogar gratuito y de código abierto para Linux, Windows, macOS y Raspberry Pi. Antes de la versión 2026.3, el controlador del comando JSON `udevices`, `Cmd_UpdateDevices` en `main/WebServerCmds.cpp`, no realizaba ninguna comprobación de `session.rights` antes de invocar un script del analizador Lua, mientras que sus comandos hermanos restringen el acceso según el rol. Un usuario autenticado con privilegios bajos podría desencadenar la ejecución de un script del analizador Lua ya instalado por el operador mediante entrada controlada por el atacante a través del punto final `GET /json.htm` con `type=command` y `param=udevices`. El parámetro `script` también carecía de una protección contra traversals de ruta (`..`): `CLuaHandler::executeLuaScript` en `main/LuaHandler.cpp` construía el nombre del archivo a partir del directorio del analizador y del nombre del script proporcionado antes de pasarlo a `luaL_loadfile`. La ejecución se limita a archivos Lua válidos ya instalados; esto no es una ejecución de código arbitrario, y la advertencia indica que las rutas de escritura de archivos y carga requieren privilegios de administrador. Este problema está resuelto en la versión 2026.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.