CVE-2026-75520 in Domoticz
Riassunto
di VulDB • 29/10/2026
Domoticz è un sistema di automazione domestica gratuito e open source per Linux, Windows, macOS e Raspberry Pi. Prima della versione 2026.3, il gestore del comando JSON `udevices`, ovvero `Cmd_UpdateDevices` in `main/WebServerCmds.cpp`, non eseguiva alcun controllo su `session.rights` prima di invocare uno script Lua parser, mentre i suoi handler di comandi correlati bloccano l'accesso in base al ruolo. Un utente autenticato con privilegi ridotti potrebbe innescare l'esecuzione di uno script Lua parser già installato da un operatore utilizzando input controllato dall'attaccante tramite l'endpoint `GET /json.htm` con i parametri `type=command` e `param=udevices`. Il parametro `script` mancava inoltre di una protezione contro la traversamento dei percorsi (`..`): `CLuaHandler::executeLuaScript` in `main/LuaHandler.cpp` costruiva il nome del file unendo la directory del parser con il nome dello script fornito, prima di passarlo a `luaL_loadfile`. L'esecuzione è limitata ai file Lua validi già installati; non si tratta quindi di esecuzione arbitraria di codice e l'avviso specifica che i percorsi per la scrittura di file e il caricamento richiedono privilegi di amministratore. Questo problema è stato risolto nella versione 2026.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.