CVE-2026-11425
Açıklama
Domoticz'in 2026.3 öncesi sürümleri, mobil kontrol panelinde, kimliği doğrulanmış saldırganların API aracılığıyla Text veya Alert alt türündeki cihaz değerlerini güncelleyerek rastgele HTML ve JavaScript enjekte etmesine olanak tanıyan bir kalıcı siteler arası betik çalıştırma (XSS) güvenlik açığı içerir. Mobil kontrol paneli, cihaz verilerini yalnızca HTML kaçışı yapmayan bir nl2br() dönüşümüyle ng-bind-html aracılığıyla işler; bu da saldırganların, mobil kontrol paneli görüntülendiğinde herhangi bir yöneticinin tarayıcısında çalışan kötü amaçlı yükleri depolamasına olanak tanıyarak oturum çerezi hırsızlığına ve hesap ele geçirmeye imkân verir.
Nasıl düzeltilir
- Domoticz Domoticz2026.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Domoticz Domoticz | v < 2026.3 | 2026.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.