CVE-2026-63641 in MagicMirror
요약
\~에 의해 VulDB • 2026. 08. 18.
MagicMirror²는 오픈 소스 모듈형 스마트 미러 플랫폼입니다. 버전 2.37.0 이전의 MagicMirror는 ipWhitelist를 Express 미들웨어로만 적용하며, js/server.js에 있는 Socket.IO 서버는 HTTP 서버에 직접 연결되어 있으며 동일한 IP 허용 목록(origin), 네임스페이스 인증 확인이 없습니다. ipWhitelist에 의존하는 문서화된 비루프백(non-loopback) 배포 환경에서 인증되지 않은 인접 네트워크 클라이언트는 모듈의 Socket.IO 네임스페이스로 직접 연결할 수 있으며, js/node_helper.js는 socketNotificationReceived를 통해 임의의 이벤트와 페이로드를 디스패치합니다. 기본 newsfeed 및 calendar 헬퍼는 공격자가 선택한 URL로의 서버 측 요청을 수행할 수 있고, 기본 updatenotification 헬퍼는 타사 모듈 업데이트가 대기 중일 때 attacker가 소켓 CONFIG 경로를 통해 제공한 업데이트 명령에 대해 child_process.exec를 호출할 수 있습니다. 이로 인해 내부 서비스가 노출되고, 모듈-헬퍼 상태가 조작되며 조건부 명령이 실행될 수 있습니다. 이 문제는 버전 2.37.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.