CVE-2026-63641 in MagicMirror
الملخص
بحسب VulDB • 18/08/2026
MagicMirror² هو منصة مرآة ذكية مفتوحة المصدر وقابلة للتوسيع باستخدام وحدات (modules). قبل الإصدار 2.37.0، كان MagicMirror يطبق قائمة عناوين IP المسموح بها (ipWhitelist) فقط كوسيط (middleware) لـ Express، بينما تم ربط خادم Socket.IO الموجود في الملف js/server.js مباشرة بخادم HTTP دون وجود فحوصات مكافئة لقائمة السماح بعناوين IP أو التحقق من المصدر (origin) أو المسمى الوظيفي (namespace). وفي حالة النشر المسجل التي لا تعتمد على حلقة التكرار المحلية (non-loopback) وتعتمد على ipWhitelist، يمكن لعميل في الشبكة المجاورة غير المصادق عليه الاتصال مباشرة بمسميات Socket.IO الخاصة بالوحدات، حيث يقوم الملف js/node_helper.js بتوجيه أحداث وأحمال بيانات عشوائية إلى دالة socketNotificationReceived. ويمكن للمساعدين الافتراضيين لتغذية الأخبار والتقويم إجراء طلبات من جانب الخادم نحو عناوين URL يختارها المهاجم، بينما يمكن لمساعد التحديث (updatenotification) الافتراضي الوصول إلى دالة child_process.exec عندما يكون تحديث وحدة تابعة قيد الانتظار ويقوم المهاجم بتزويد أمر تحديث عبر مسار socket CONFIG. قد يؤدي هذا إلى كشف الخدمات الداخلية والتلاعب بحالة مساعد الوحدة وتنفيذ الأوامر بشكل مشروط. تم إصلاح هذه المشكلة في الإصدار 2.37.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.