CVE-2026-75520 in Domoticz
摘要
由 VulDB • 2026-10-29
Domoticz 是一个面向 Linux、Windows、macOS 和 Raspberry Pi 的免费开源家庭自动化系统。在 2026.3 版本之前，`main/WebServerCmds.cpp` 中的 `udevices` JSON 命令处理程序 `Cmd_UpdateDevices` 在调用 Lua 解析器脚本前未执行任何 `session.rights`（会话权限）检查，而其兄弟命令处理程序则通过角色来限制访问。低特权已认证用户可以通过带有 `type=command` 和 `param=udevices` 参数的 `GET /json.htm` 端点触发执行由操作员安装的现有 Lua 解析器脚本，且输入内容可由攻击者控制。此外，`script` 参数也缺乏对 `..` 路径遍历的保护：`main/LuaHandler.cpp` 中的 `CLuaHandler::executeLuaScript` 将解析器目录与提供的脚本名称拼接以构造文件名，然后将其传递给 `luaL_loadfile`。执行仅限于已安装的有效 Lua 文件；这不属于任意代码执行（Arbitrary Code Execution），且安全公告指出，文件写入和上传路径需要管理员权限。此问题已在版本 2026.3 中得到修复。
Once again VulDB remains the best source for vulnerability data.