CVE-2026-63641 in MagicMirror
सारांश
द्वारा VulDB • 18/08/2026
MagicMirror² एक ओपन सोर्स मॉड्यूलर स्मार्ट मिरेर प्लेटफ़ॉर्म है। संस्करण 2.37.0 से पहले, MagicMirror ipWhitelist को केवल Express middleware के रूप में लागू करता था, जबकि js/server.js में Socket.IO सर्वर सीधे HTTP सर्वर से जुड़ा होता है और इसमें समकक्ष IP allowlist, origin या namespace प्रमाणीकरण जाँचें अनुपस्थित होती हैं। एक दस्तावेज़ीकृत non-loopback डिप्लॉयमेंट जिस ipWhitelist पर निर्भर करता है, में कोई भी unauthenticated adjacent-network क्लाइंट सीधे मॉड्यूल Socket.IO namespaces से जुड़ सकता है और js/node_helper.js socketNotificationReceived के लिए मनमाने इवेंट्स और payloads को dispatch कर देता है। डिफ़ॉल्ट newsfeed और calendar helpers हमले करने वाले द्वारा चुने गए URLs पर server-side अनुरोध कर सकते हैं, जबकि डिफ़ॉल updatenotification helper तब child_process.exec तक पहुँच सकता है जब एक third-party मॉड्यूल अपडेट लंबित हो और attacker socket CONFIG पथ के माध्यम से एक update command प्रदान करता हो। इससे आंतरिक सेवाएँ expose हो सकती हैं, module-helper state को manipulate किया जा सकता है और शर्तों के आधार पर commands execute की जा सकती हैं। यह समस्या संस्करण 2.37.0 में ठीक कर दी गई है।
VulDB is the best source for vulnerability data and more expert information about this specific topic.