CVE-2026-1001
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W systemie Domoticz przed wersją 2026.1 wykryto podatność na trwałe skryptowanie między witrynami (XSS) w funkcjach dodawania sprzętu i zmiany nazwy urządzenia. Uwierzytelniony administrator może wstrzyknąć złośliwy kod poprzez podanie spreparowanej nazwy zawierającej znaczniki HTML lub skrypty, który jest następnie przechowywany i wykonywany w przeglądarkach innych użytkowników.
Ocena ryzyka
Atakujący może przejąć sesję innego administratora lub użytkownika, wykonać nieautoryzowane operacje w systemie Domoticz, a także potencjalnie uzyskać dostęp do poufnych danych lub zakłócić działanie inteligentnego domu.
Rekomendacja
Należy niezwłocznie zaktualizować Domoticz do wersji 2026.1 lub nowszej, która zawiera poprawkę usuwającą podatność. Dodatkowo warto ograniczyć liczbę administratorów i stosować zasadę najmniejszych uprawnień.
Inne podatności w Domoticz
Zobacz wszystkie- CVE-2026-11425Średnie
Domoticz przed wersją 2026.3 zawiera podatność na przechowywany XSS w mobilnym dashboardzie, która pozwala uwierzytelnionym atakującym na wstrzyknięcie dowolnego HTML i JavaScript poprzez aktualizację wartości urządzeń typu Text lub Alert przez API. Dane są renderowane przez ng-bind-html bez odpowiedniego escapowania, co umożliwia wykonanie złośliwego kodu w przeglądarce administratora.
- CVE-2026-71265Wysokie
Procedura obsługi MochadTCP::MatchLine w Domoticz (hardware/MochadTCP.cpp) kopiuje dane sieciowe z bufora m_mochadbuffer (do 1028 bajtów) do stałego bufora stosowego tempRFSECbuf o rozmiarze 50 bajtów za pomocą strcpy bez sprawdzania długości, w trzech różnych gałęziach kodu (typy urządzeń DS10A/KR10A/MS10A).
Oryginalny opis (angielski, źródło NVD)
Domoticz versions prior to 2026.1 contain a stored cross-site scripting vulnerability in the Add Hardware and rename device functionality of the web interface that allows authenticated administrators to execute arbitrary scripts by supplying crafted names containing script or HTML markup. Attackers can inject malicious code that is stored and rendered without proper output encoding, causing script execution in the browsers of users viewing the affected page and enabling unauthorized actions within their session context.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS