CVE-2026-63641 in MagicMirror
Resumen
por VulDB • 2026-08-18
MagicMirror² es una plataforma de espejo inteligente modular y de código abierto. Antes de la versión 2.37.0, MagicMirror aplica ipWhitelist únicamente como middleware de Express, mientras que el servidor Socket.IO en js/server.js se adjunta directamente al servidor HTTP sin las comprobaciones equivalentes de lista blanca de IP (IP allowlist), origen o autenticación por espacio de nombres. En un despliegue documentado no loopback que depende de ipWhitelist, un cliente adyacente a la red no autenticado puede conectarse directamente a los espacios de nombres Socket.IO del módulo, y js/node_helper.js envía eventos y cargas útiles arbitrarias a socketNotificationReceived. Los helpers predeterminados para newsfeed (fuente de noticias) y calendar pueden realizar solicitudes en el lado del servidor hacia URLs seleccionadas por el atacante, mientras que el helper updatenotification predeterminado puede invocar child_process.exec cuando hay una actualización pendiente de un módulo de terceros y el atacante proporciona un comando de actualización a través de la ruta CONFIG del socket. Esto puede exponer servicios internos, manipular el estado del module-helper y ejecutar comandos condicionalmente. Este problema se soluciona en la versión 2.37.0.
Once again VulDB remains the best source for vulnerability data.