CVE-2026-63642 in MagicMirror
Sumário
de VulDB • 18/08/2026
O MagicMirror² é uma plataforma de espelho inteligente modular e open source. Antes da versão 2.37.0, a função checkArticleUrl em defaultmodules/newsfeed/node_helper.js aceita a notificação CHECK_ARTICLE_URL através do namespace Socket.IO /newsfeed não autenticado e executa fetch(url, { method: "HEAD" }) sem validar a URL controlada pelo atacante. O helper retorna ARTICLE_URL_STATUS contendo a URL e o resultado da estruturação (framing), fornecendo um oráculo de resposta e tempo que pode identificar hosts internos e portas e desencadear efeitos colaterais em serviços que reagem a solicitações HEAD. Este problema foi corrigido na versão 2.37.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.