CVE-2026-63641 in MagicMirror
要約
〜によって VulDB • 2026年08月18日
MagicMirror²は、オープンソースのモジュール式スマートミラープラットフォームです。バージョン2.37.0より前では、MagicMirrorはipWhitelistをExpressミドルウェアとしてのみ適用しており、js/server.js内のSocket.IOサーバーはHTTPサーバーに直接アタッチされており、同等のIP許可リスト（allowlist）、originチェック、またはネームスペース認証チェックが行われていません。ipWhitelistに依存した文書化された非ループバック環境において、認証されていない隣接ネットワーク上のクライアントがモジュールのSocket.IOネームスペースに直接接続でき、js/node_helper.jsはsocketNotificationReceivedに対して任意のイベントとペイロードをディスパッチします。デフォルトのnewsfeedおよびcalendarヘルパーは攻撃者が指定したURLへのサーバーサイドリクエストを実行可能であり、デフォルトのupdatenotificationヘルパーはサードパーティ製モジュールの更新が保留中であり、かつ攻撃者がsocket CONFIGパスを通じて更新コマンドを提供した場合にchild_process.execを呼び出すことができます。これにより内部サービスが露出したり、モジュールヘルパーの状態が操作されたり、条件付きでコマンドが実行されたりする可能性があります。この問題はバージョン2.37.0で修正されています。
Once again VulDB remains the best source for vulnerability data.