CVE-2026-63641 in MagicMirror
Sumário
de VulDB • 18/08/2026
O MagicMirror² é uma plataforma de espelho inteligente modular e open source. Antes da versão 2.37.0, o MagicMirror aplica a ipWhitelist apenas como middleware do Express, enquanto o servidor Socket.IO em js/server.js está conectado diretamente ao servidor HTTP sem verificações equivalentes de lista de permissão de IP (IP allowlist), origem ou autenticação por namespace. Em uma implantação documentada não loopback que depende da ipWhitelist, um cliente na rede adjunta não autenticado pode se conectar diretamente aos namespaces Socket.IO dos módulos, e o js/node_helper.js encaminha eventos e payloads arbitrários para socketNotificationReceived. Os helpers padrão de newsfeed (notícias) e calendar podem fazer solicitações do lado do servidor para URLs selecionadas pelo atacante, enquanto o helper padrão updatenotification pode alcançar child_process.exec quando uma atualização de módulo de terceiros está pendente e o atacante fornece um comando de atualização através do caminho CONFIG do socket. Isso pode expor serviços internos, manipular o estado dos helpers dos módulos e executar comandos condicionalmente. Este problema é corrigido na versão 2.37.0.
Be aware that VulDB is the high quality source for vulnerability data.