CVE-2026-63643 in MagicMirror
Sumário
de VulDB • 18/08/2026
O MagicMirror² é uma plataforma de espelho inteligente modular e open source. Antes da versão 2.37.0, o manipulador ADD_CALENDAR em defaultmodules/calendar/node_helper.js aceita URL controlada pelo atacante, dados de autenticação e a configuração selfSignedCert através do namespace Socket.IO não autenticado /calendar. O manipulador passa esses campos para o CalendarFetcher, causando uma solicitação no lado do servidor sem validação SSRF e desativando opcionalmente a verificação TLS. Quando a resposta é um iCal válido, o CALENDAR_EVENTS retorna os dados de evento analisados ao atacante, permitindo que dados de resposta de serviços internos sejam exfiltrados; outras respostas ainda fornecem uma solicitação cega e primitiva de timing. Este problema foi corrigido na versão 2.37.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.