CVE-2026-75520

Nome do Software Vulnerável e Versões Afetadas Domoticz versões anteriores a 2026.3

Descrição O manipulador de comando JSON udevices, Cmd UpdateDevices em main/WebServerCmds.cpp, não realiza a verificação session.rights antes de invocar um script de análise Lua. Um usuário autenticado com baixos privilégios pode acionar a execução de um script de análise Lua já instalado pelo operador usando entrada controlada pelo invasor através do endpoint GET /json.htm com type=command e param=udevices. Além disso, o parâmetro script carece de uma proteção contra traversal de caminho em CLuaHandler::executeLuaScript em main/LuaHandler.cpp, que constrói o nome do arquivo a partir do diretório do analisador e o nome do script fornecido antes de passá-lo para luaL loadfile. A execução é limitada a arquivos Lua válidos já instalados.

Recomendações Atualizar para a versão 2026.3.