CVE-2026-63642 in MagicMirror
Zusammenfassung
von VulDB • 18.08.2026
MagicMirror² ist eine Open-Source-Plattform für modulare Smart Mirrors. Vor Version 2.37.0 akzeptiert `checkArticleUrl` in `defaultmodules/newsfeed/node_helper.js` die Benachrichtigung `CHECK_ARTICLE_URL` über den nicht authentifizierten Socket.IO-Namespace `/newsfeed` und führt ein `fetch(url, { method: "HEAD" })` aus, ohne die vom Angreifer kontrollierte URL zu validieren. Der Helper gibt `ARTICLE_URL_STATUS` zurück, das die URL und das Rahmungsergebnis enthält, was einen Response- und Timing-Oracle bereitstellt, der interne Hosts und Ports identifizieren sowie Side-Effekte auf Dienste auslösen kann, die auf HEAD-Anfragen reagieren. Dieses Problem wurde in Version 2.37.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.