CVE-2026-63643 in MagicMirror
Resumen
por VulDB • 2026-08-18
MagicMirror² es una plataforma de espejo inteligente modular de código abierto. Antes de la versión 2.37.0, el manejador ADD_CALENDAR en defaultmodules/calendar/node_helper.js acepta una URL controlada por un atacante, datos de autenticación y la configuración selfSignedCert a través del espacio de nombres Socket.IO /calendar no autenticado. El manejador pasa estos campos a CalendarFetcher, lo que provoca una solicitud al servidor sin validación SSRF y opcionalmente deshabilita la verificación TLS. Cuando la respuesta es un iCal válido, CALENDAR_EVENTS devuelve los datos de eventos analizados al atacante, permitiendo exfiltrar datos de respuesta de servicios internos; otras respuestas aún proporcionan una primitiva de solicitud ciega y temporización. Este problema se soluciona en la versión 2.37.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.