CVE-2026-63641 in MagicMirror
Tóm tắt
Bởi VulDB • 18/08/2026
MagicMirror² là một nền tảng gương thông minh mô-đun mã nguồn mở. Trước phiên bản 2.37.0, MagicMirror chỉ áp dụng ipWhitelist dưới dạng middleware của Express, trong khi máy chủ Socket.IO trong js/server.js được gắn trực tiếp vào máy chủ HTTP mà không có các kiểm tra xác thực tương đương như danh sách cho phép IP (IP allowlist), nguồn gốc (origin) hoặc namespace. Trong một triển khai phi-loopback đã được ghi nhận và dựa trên ipWhitelist, một client mạng lân cận chưa xác thực có thể kết nối trực tiếp với các namespace Socket.IO của module, và js/node_helper.js sẽ phân phối các sự kiện và payload tùy ý đến socketNotificationReceived. Các trợ lý mặc định cho newsfeed (nguồn tin tức) và calendar (lịch) có thể tạo yêu cầu phía máy chủ tới các URL do kẻ tấn công chọn, trong khi trợ lý updatenotification (cập nhật thông báo) mặc định có thể gọi đến child_process.exec khi bản cập nhật của module bên thứ ba đang chờ xử lý và kẻ tấn công cung cấp lệnh cập nhật qua đường dẫn socket CONFIG. Điều này có thể làm lộ các dịch vụ nội bộ, thao túng trạng thái trợ lý module và thực thi điều kiện các lệnh. Vấn đề này đã được sửa trong phiên bản 2.37.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.