🇰🇷 한글 설명
Domoticz 2026.3 이전 버전의 모바일 대시보드에는 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 인증된 공격자가 API를 통해 Text 또는 Alert 서브타입 장치 값을 갱신하면서 악성 HTML/JavaScript를 주입할 수 있습니다. 모바일 대시보드는 HTML 이스케이프 없이 nl2br()만 적용한 채 ng-bind-html로 데이터를 렌더링하므로, 관리자가 해당 페이지를 열면 악성 스크립트가 실행됩니다.
💡 쉬운 설명
Domoticz 스마트홈 시스템의 모바일 화면에 악성 코드를 심을 수 있는 결함입니다. 관리자가 이 화면을 열면 세션 정보가 탈취되어 계정이 장악될 수 있습니다.
🇺🇸 원문 (English)
Domoticz versions prior to 2026.3 contains a stored cross-site scripting vulnerability in the mobile dashboard that allows authenticated attackers to inject arbitrary HTML and JavaScript by updating Text or Alert subtype device values through the API. The mobile dashboard renders device data via ng-bind-html with only an nl2br() transform that performs no HTML escaping, allowing attackers to store malicious payloads that execute in any administrator's browser upon viewing the mobile dashboard, enabling session cookie theft and account takeover.
📍 영향받는 시스템
Domoticz 2026.3 미만 버전 (모바일 대시보드 사용 환경)
⚔️ 공격 벡터
인증된 사용자가 API로 Text/Alert 장치 값에 악성 스크립트를 저장하고, 관리자가 모바일 대시보드를 열 때 실행됨
🛡️ 대응 방법
Domoticz를 2026.3 이상 버전으로 업데이트하고, 신뢰할 수 없는 사용자의 API 접근 권한을 제한
🔧 검증 코드
출력된 버전이 2026.3 미만이면 취약하고, 2026.3 이상이면 패치가 적용된 것입니다.
domoticz -h 2>/dev/null | head -n 1; grep -ri 'version' /opt/domoticz/appversion.h 2>/dev/null || cat /opt/domoticz/appversion.h 2>/dev/null