CVE-2026-63641 in MagicMirror
Zusammenfassung
von VulDB • 18.08.2026
MagicMirror² ist eine Open-Source-modulare Smart-Mirror-Plattform. Vor Version 2.37.0 wendet MagicMirror ipWhitelist nur als Express-Middleware an, während der Socket.IO-Server in js/server.js direkt am HTTP-Server angebunden ist und keine äquivalenten IP-Acceptlist-, Origin- oder Namespace-Authentifizierungsprüfungen durchführt. In einer dokumentierten Nicht-Loopback-Bereitstellung, die auf ipWhitelist basiert, kann ein nicht authentifizierter Client im benachbarten Netzwerk direkt mit Socket.IO-Namensräumen von Modulen verbinden, und js/node_helper.js leitet beliebige Ereignisse und Payloads an socketNotificationReceived weiter. Die Standard-Helfer für Newsfeed und Kalender können serverseitige Anfragen an vom Angreifer ausgewählte URLs senden, während der standardmäßige updatenotification-Helper bei ausstehenden Updates von Drittanbietermodulen auf child_process.exec zugreifen kann, wenn der Angreifer einen Update-Befehl über den Socket CONFIG-Pfad bereitstellt. Dies kann interne Dienste exponieren, den Zustand des Module-Helpers manipulieren und bedingt Befehle ausführen. Dieses Problem wurde in Version 2.37.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.