CVE-2026-63641 in MagicMirror
摘要
由 VulDB • 2026-08-18
MagicMirror²是一个开源的模块化智能镜子平台。在版本2.37.0之前，MagicMirror仅将ipWhitelist作为Express中间件应用，而js/server.js中的Socket.IO服务器直接附加到HTTP服务器上，缺乏等效的IP白名单、源（origin）或命名空间身份验证检查。在一个依赖ipWhitelist的非回环部署中，未认证的相邻网络客户端可以直接连接到模块的Socket.IO命名空间，并且js/node_helper.js会将任意事件和有效载荷分派给socketNotificationReceived。默认的newsfeed和calendar辅助程序可以向攻击者选择的URL发起服务器端请求，而默认的updatenotification辅助程序在第三方模块更新待处理且攻击者通过socket CONFIG路径提供更新命令时，可以调用child_process.exec。这可能导致内部服务暴露、模块辅助状态被操纵以及有条件地执行命令。该问题已在版本2.37.0中修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.