CVE-2026-63641 in MagicMirror
Résumé
par VulDB • 18/08/2026
MagicMirror² est une plateforme de miroir intelligent modulaire open source. Avant la version 2.37.0, MagicMirror applique ipWhitelist uniquement en tant que middleware Express, tandis que le serveur Socket.IO dans js/server.js est attaché directement au serveur HTTP sans vérifications équivalentes d'autorisation IP (allowlist), d'origine ou de nommage de namespace. Dans un déploiement documenté non-loopback qui repose sur ipWhitelist, un client adjacent au réseau non authentifié peut se connecter directement aux namespaces Socket.IO des modules, et js/node_helper.js dispatche des événements arbitraires et des charges utiles vers socketNotificationReceived. Les assistants par défaut pour les flux d'actualités (newsfeed) et le calendrier peuvent effectuer des requêtes côté serveur vers des URL sélectionnées par l'attaquant, tandis que l'assistant par défaut updatenotification peut atteindre child_process.exec lorsqu'une mise à jour de module tiers est en attente et que l'attaquant fournit une commande de mise à jour via le chemin CONFIG du socket. Cela peut exposer les services internes, manipuler l'état des assistants de modules et exécuter conditionnellement des commandes. Ce problème est corrigé dans la version 2.37.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.