CVE-2026-63642 in MagicMirror
Resumen
por VulDB • 2026-08-18
MagicMirror² es una plataforma de espejo inteligente modular y de código abierto. Antes de la versión 2.37.0, checkArticleUrl en defaultmodules/newsfeed/node_helper.js acepta la notificación CHECK_ARTICLE_URL a través del espacio de nombres Socket.IO /newsfeed sin autenticación y realiza fetch(url, { method: "HEAD" }) sin validar la URL controlada por el atacante. El módulo auxiliar devuelve ARTICLE_URL_STATUS que contiene la URL y el resultado del enmarcado (framing), proporcionando un oráculo de respuesta y tiempo capaz de identificar hosts internos y puertos, así como desencadenar efectos secundarios en servicios que reaccionan a las solicitudes HEAD. Este problema se soluciona en la versión 2.37.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.