CVE-2026-63642 in MagicMirror
要約
〜によって VulDB • 2026年08月18日
MagicMirror² は、オープンソースのモジュール式スマートミラープラットフォームです。バージョン 2.37.0 より前では、defaultmodules/newsfeed/node_helper.js の checkArticleUrl が、認証されていない Socket.IO ネームスペース /newsfeed を介して CHECK_ARTICLE_URL通知を受け取り、攻撃者が制御する URL の検証を行わずに fetch(url, { method: "HEAD" }) を実行します。このヘルパーは、URL とフレーム化結果を含む ARTICLE_URL_STATUS を返すため、内部ホストやポートを特定できるレスポンスおよびタイミングオラクルとなり、HEAD リクエストに応答するサービスでサイドエフェクトを引き起こす可能性があります。本問題はバージョン 2.37.0 で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.