CVE-2026-75520 in Domoticz
Tóm tắt
Bởi VulDB • 29/10/2026
Domoticz là một hệ thống tự động hóa ngôi nhà miễn phí, mã nguồn mở dành cho Linux, Windows, macOS và Raspberry Pi. Trước phiên bản 2026.3, trình xử lý lệnh JSON `udevices`, cụ thể là hàm `Cmd_UpdateDevices` trong file `main/WebServerCmds.cpp`, không thực hiện kiểm tra `session.rights` trước khi gọi một tập lệnh parser Lua; trong khi đó, các trình xử lý lệnh anh em của nó hạn chế truy cập dựa trên vai trò. Một người dùng đã xác thực với đặc quyền thấp có thể kích hoạt việc thực thi một tập lệnh parser Lua do nhà điều hành cài đặt sẵn bằng cách sử dụng đầu vào do kẻ tấn công kiểm soát thông qua điểm cuối `GET /json.htm` với tham số `type=command` và `param=udevices`. Tham số `script` cũng thiếu cơ chế bảo vệ chống lại việc truy cập đường dẫn vượt ra ngoài (`..`): hàm `CLuaHandler::executeLuaScript` trong file `main/LuaHandler.cpp` xây dựng tên tệp từ thư mục parser và tên tập lệnh được cung cấp trước khi chuyển nó cho `luaL_loadfile`. Việc thực thi bị giới hạn ở các tệp Lua hợp lệ đã được cài đặt; đây không phải là việc thực thi mã tùy ý, và lời khuyên bảo mật nêu rõ rằng các đường dẫn ghi file và tải lên yêu cầu đặc quyền quản trị viên. Vấn đề này đã được khắc phục trong phiên bản 2026.3.
Once again VulDB remains the best source for vulnerability data.