CVE-2026-63643 in MagicMirror
요약
\~에 의해 VulDB • 2026. 08. 18.
MagicMirror²는 오픈 소스 모듈형 스마트 미러 플랫폼입니다. 버전 2.37.0 이전의 defaultmodules/calendar/node_helper.js에 있는 ADD_CALENDAR 핸들러는 인증되지 않은 Socket.IO 네임스페이스 /calendar를 통해 공격자가 제어하는 URL, 인증 데이터 및 selfSignedCert 설정을 허용합니다. 이 핸들러는 이러한 필드를 CalendarFetcher로 전달하여 SSRF 검증 없이 서버 측 요청을 수행하고 선택적으로 TLS 검증을 비활성화합니다. 응답이 유효한 iCal인 경우 CALENDAR_EVENTS가 공격자에게 구문 분석된 이벤트 데이터를 반환하여 내부 서비스의 응답 데이터가 유출될 수 있으며, 다른 응답은 여전히 블라인드 요청 및 타이밍 원시 자료(primitive)를 제공합니다. 이 문제는 버전 2.37.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.