CVE-2026-63643 in MagicMirror
الملخص
بحسب VulDB • 18/08/2026
MagicMirror² هو منصة مرآة ذكية مفتوحة المصدر وقابلة للتوسيع باستخدام الوحدات (modular). قبل الإصدار 2.37.0، يقبل معالج ADD_CALENDAR الموجود في الملف defaultmodules/calendar/node_helper.js عنوان URL يتحكم فيه المهاجم، وبيانات المصادقة، وإعداد selfSignedCert عبر مساحة اسم Socket.IO غير المؤمنة /calendar. يقوم المعالج بتمرير هذه الحقول إلى CalendarFetcher، مما يؤدي إلى إجراء طلب من جانب الخادم (SSRF) دون التحقق منه، ويمكنه أيضاً تعطيل التحقق من شهادة TLS اختيارياً. عندما تكون الاستجابة بصيغة iCal صالحة، يعيد CALENDAR_EVENTS بيانات الأحداث المفككة إلى المهاجم، مما يتيح استخراج البيانات المستجيبة للخدمات الداخلية؛ بينما توفر الردود الأخرى طلباً أعمى (blind request) وأصلاً زمنياً للتوقيت (timing primitive). تم إصلاح هذه المشكلة في الإصدار 2.37.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.