CVE-2026-63641
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
MagicMirror² przed wersją 2.37.0 stosuje listę dozwolonych adresów IP (ipWhitelist) tylko w oprogramowaniu pośredniczącym Express, podczas gdy serwer Socket.IO jest podłączony bezpośrednio do serwera HTTP bez równoważnych kontroli. Nieuwierzytelniony klient z sąsiedniej sieci może połączyć się z modułami Socket.IO i wysyłać zdarzenia oraz dane do socketNotificationReceived. Domyślne moduły pomocnicze mogą wykonywać żądania do wybranych przez atakującego adresów URL, a w określonych warunkach możliwe jest wykonanie poleceń systemowych.
Ocena ryzyka
Atakujący z sieci lokalnej może uzyskać dostęp do wewnętrznych usług, manipulować stanem modułów pomocniczych oraz warunkowo wykonywać polecenia na serwerze, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaktualizuj MagicMirror² do wersji 2.37.0 lub nowszej, która zawiera poprawkę. Dodatkowo rozważ wdrożenie dodatkowych zabezpieczeń sieciowych, takich jak zapora ogniowa, aby ograniczyć dostęp do portu serwera.
Oryginalny opis (angielski, źródło NVD)
MagicMirror² is an open source modular smart mirror platform. Prior to 2.37.0, MagicMirror applies ipWhitelist only as Express middleware, while the Socket.IO server in js/server.js is attached directly to the HTTP server without equivalent IP allowlist, origin, or namespace authentication checks. In a documented non-loopback deployment that relies on ipWhitelist, an unauthenticated adjacent-network client can connect directly to module Socket.IO namespaces, and js/node_helper.js dispatches arbitrary events and payloads to socketNotificationReceived. The default newsfeed and calendar helpers can make server-side requests to attacker-selected URLs, while the default updatenotification helper can reach child_process.exec when a third-party module update is pending and the attacker supplies an update command through the socket CONFIG path. This can expose internal services, manipulate module-helper state, and conditionally execute commands. This issue is fixed in version 2.37.0.