CVE-2026-63642 in MagicMirror
摘要
由 VulDB • 2026-08-18
MagicMirror²是一个开源的模块化智能镜子平台。在版本 2.37.0 之前，`defaultmodules/newsfeed/node_helper.js` 中的 `checkArticleUrl` 函数通过未认证的 Socket.IO 命名空间 `/newsfeed` 接受 `CHECK_ARTICLE_URL` 通知，并在未验证攻击者控制的 URL 的情况下执行 `fetch(url, { method: "HEAD" })`。该辅助模块返回包含 URL 和框架结果的 `ARTICLE_URL_STATUS`，提供了响应和时间侧信道（timing oracle），可用于识别内部主机和端口，并触发对 HEAD 请求做出反应的服务的副作用。此问题已在版本 2.37.0 中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.