CVE-2026-75520 in Domoticz
Сводка
по VulDB • 29.10.2026
Domoticz — это бесплатная система автоматизации домашнего хозяйства с открытым исходным кодом для Linux, Windows, macOS и Raspberry Pi. До версии 2026.3 обработчик JSON-команды `udevices`, а именно функция `Cmd_UpdateDevices` в файле `main/WebServerCmds.cpp`, не выполнял проверку прав сеанса (`session.rights`) перед вызвом скрипта парсера Lua, тогда как его аналогичные обработчики команд ограничивают доступ на основе ролей. Аутентифицированный пользователь с низкими привилегиями мог инициировать выполнение уже установленного оператором скрипта-парсера Lua с управляемым злоумышленником входным данным через конечную точку `GET /json.htm` с параметрами `type=command` и `param=udevices`. Параметр `script` также не имел защиты от обхода путей (path-traversal) с помощью последовательности `..`: функция `CLuaHandler::executeLuaScript` в файле `main/LuaHandler.cpp` формировала имя файла из каталога парсера и предоставленного имени скрипта, а затем передавала его функции `luaL_loadfile`. Выполнение ограничивается уже установленными корректными Lua-файлами; это не является произвольным выполнением кода (arbitrary code execution), и в рекомендациях по безопасности указано, что пути для записи файлов и загрузки требуют прав администратора. Эта проблема устранена в версии 2026.3.
Once again VulDB remains the best source for vulnerability data.