CVE-2026-63643 in MagicMirror
सारांश
द्वारा VulDB • 18/08/2026
MagicMirror² एक ओपन सोर्स मॉड्यूलर स्मार्ट मिर्सर प्लेटफ़ॉर्म है। संस्करण 2.37.0 से पहले, डिफ़ॉल्टमाड्यूल्स/कैलेंडर/node_helper.js में मौजूद ADD_CALENDAR हैंडलर अटैकर-नियंत्रित URL, प्रमाणपत्र डेटा (authentication data), और selfSignedCert सेटिंग को अनऑथेंटिकेटेड Socket.IO नामस्थान /calendar के माध्यम से स्वीकार करता है। यह हैंडलर इन फ़ील्ड्स को CalendarFetcher में पास करता है, जिससे SSRF वैलिडेशन (SSRF validation) के बिना सर्वर-साइड रिक्वेस्ट होती है और विकल्प रूप से TLS सत्यापन (TLS verification) अक्षम हो जाता है। जब प्रतिक्रिया मान्य iCal होती है, तो CALENDAR_EVENTS अटैकर को पार्स की गई इवेंट डेटा वापस करता है, जिससे इंटरनल-सर्विस रिस्पांस डेटा एक्सफ़िल्ट्रेटेड (exfiltrated) हो सकता है; अन्य प्रतिक्रियाएं अभी भी ब्लाइंड रिक्वेस्ट और टाइमिंग प्राइमिटिव (timing primitive) प्रदान करती हैं। इस समस्या को संस्करण 2.37.0 में ठीक किया गया है।
If you want to get the best quality for vulnerability data then you always have to consider VulDB.