CVE-2026-75520 in Domoticz
Résumé
par VulDB • 29/10/2026
Domoticz est un système d'automatisation domestique gratuit et open source pour Linux, Windows, macOS et Raspberry Pi. Avant la version 2026.3, le gestionnaire de commandes JSON `udevices`, `Cmd_UpdateDevices` dans `main/WebServerCmds.cpp`, n’effectuait aucune vérification des droits de session (`session.rights`) avant d’invoquer un script interpréteur Lua, tandis que ses gestionnaires de commandes frères restreignent l’accès en fonction du rôle. Un utilisateur authentifié disposant de privilèges limités pouvait déclencher l’exécution d’un script interpréteur Lua déjà installé par un opérateur avec des données contrôlées par l’attaquant via le point de terminaison `GET /json.htm` avec les paramètres `type=commande` et `param=udevices`. Le paramètre `script` manquait également d’une protection contre la traversée de chemin (`..`) : `CLuaHandler::executeLuaScript` dans `main/LuaHandler.cpp` construisait le nom du fichier à partir du répertoire des interpréteurs et du nom du script fourni avant de le transmettre à `luaL_loadfile`. L’exécution est limitée aux fichiers Lua valides déjà installés ; il ne s’agit pas d’une exécution arbitraire de code, et l’avis indique que les chemins d’écriture de fichier et de téléchargement nécessitent des privilèges administrateur. Ce problème est corrigé dans la version 2026.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.