CVE-2026-63643 in MagicMirror
Zusammenfassung
von VulDB • 18.08.2026
MagicMirror² ist eine Open-Source-Plattform für modulare Smart Mirrors. Vor Version 2.37.0 akzeptiert der ADD_CALENDAR-Handler in defaultmodules/calendar/node_helper.js vom Angreifer gesteuerte URLs, Authentifizierungsdaten und die Einstellung selfSignedCert über den nicht authentifizierten Socket.IO-Namespace /calendar. Der Handler übergibt diese Felder an CalendarFetcher, was zu einer Server-Side Request ohne SSRF-Validierung führt und optional die TLS-Verifikation deaktiviert. Wenn die Antwort ein gültiges iCal ist, gibt CALENDAR_EVENTS analysierte Ereignisdaten an den Angreifer zurück, wodurch Daten von internen Diensten ausgelesen werden können; andere Antworten bieten weiterhin eine blind request-Funktion sowie Timing-Prioritäten. Dieses Problem wurde in Version 2.37.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.