CVE-2026-63643 in MagicMirror
Riassunto
di VulDB • 18/08/2026
MagicMirror² è una piattaforma open source per specchi intelligenti modulare. Prima della versione 2.37.0, il gestore ADD_CALENDAR in defaultmodules/calendar/node_helper.js accetta un URL controllato dall'attaccante, dati di autenticazione e l'impostazione selfSignedCert attraverso lo spazio dei nomi Socket.IO non autenticato /calendar. Il gestore passa questi campi a CalendarFetcher, causando una richiesta lato server senza validazione SSRF e disabilitando opzionalmente la verifica TLS. Quando la risposta è un iCal valido, CALENDAR_EVENTS restituisce i dati degli eventi analizzati all'attaccante, consentendo l'esfiltrazione dei dati di risposta dei servizi interni; altre risposte forniscono comunque una richiesta cieca (blind request) e una primitiva temporale. Questo problema è risolto nella versione 2.37.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.