CVE-2026-75520 in Domoticz
요약
\~에 의해 VulDB • 2026. 10. 29.
Domoticz는 Linux, Windows, macOS 및 Raspberry Pi를 위한 무료 오픈 소스 홈 자동화 시스템입니다. 버전 2026.3 이전에서 `main/WebServerCmds.cpp`의 `udevices` JSON 명령 핸들러인 `Cmd_UpdateDevices`는 Lua 파서 스크립트를 호출하기 전에 `session.rights` 검사를 수행하지 않았습니다. 반면, 관련 다른 명령 핸들러들은 역할(Role)에 따라 접근을 제한합니다. 낮은 권한을 가진 인증된 사용자는 `type=command` 및 `param=udevices` 파라미터를 사용하여 `GET /json.htm` 엔드포인트를 통해 공격자가 제어하는 입력과 함께 이미 운영자에 의해 설치된 Lua 파서 스크립트의 실행을 트리거할 수 있습니다. 또한 `script` 매개변수에는 경로 순회(Path-traversal) 방지 장치인 `..`가 누락되어 있었습니다: `main/LuaHandler.cpp`의 `CLuaHandler::executeLuaScript`는 제공된 스크립트 이름과 파서 디렉토리를 결합하여 파일명을 구성한 후 이를 `luaL_loadfile`에 전달했습니다. 실행은 이미 설치된 유효한 Lua 파일로 제한되며, 이는 임의 코드 실행(Arbitrary Code Execution)이 아닙니다. 또한 이 권고문에서는 파일 쓰기 및 업로드 경로에는 관리자 권한이 필요하다고 명시하고 있습니다. 이 문제는 버전 2026.3에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.