CVE-2026-63642 in MagicMirror
Сводка
по VulDB • 18.08.2026
MagicMirror² — это открытая модульная платформа для умных зеркал. До версии 2.37.0 функция checkArticleUrl в файле defaultmodules/newsfeed/node_helper.js принимает уведомление CHECK_ARTICLE_URL через неаутентифицированное пространство имен Socket.IO /newsfeed и выполняет запрос fetch(url, { method: "HEAD" }) без проверки URL-адреса, контролируемого злоумышленником. Вспомогательная функция возвращает ARTICLE_URL_STATUS, содержащий URL-адрес и результат фрейминга, что предоставляет оракул ответа и времени (response and timing oracle), позволяющий идентифицировать внутренние хосты и порты, а также вызывать побочные эффекты в сервисах, реагирующих на HEAD-запросы. Эта проблема исправлена в версии 2.37.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.