CVE-2026-63643 in MagicMirror
要約
〜によって VulDB • 2026年08月18日
MagicMirror² は、オープンソースのモジュール式スマートミラープラットフォームです。バージョン 2.37.0 より前では、defaultmodules/calendar/node_helper.js の ADD_CALENDAR ハンドラが、認証不要な Socket.IO ネームスペース /calendar を介して、攻撃者が制御可能な URL、認証データ、および selfSignedCert 設定を受け入れます。このハンドラはこれらのフィールドを CalendarFetcher に渡すため、SSRF バリデーションなしでサーバーサイドのリクエストが行われ、オプションで TLS 検証が無効化されます。レスポンスが有効な iCal の場合、CALENDAR_EVENTS は攻撃者に解析されたイベントデータを返し、内部サービスのレスポンスデータが漏洩する可能性があります。その他のレスポンスでは、ブルインドリクエストとタイミングのプリミティブが依然として提供されます。この問題はバージョン 2.37.0 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.