CVE-2026-63643
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
MagicMirror², otwartoźródłowa platforma inteligentnego lustra, przed wersją 2.37.0 zawiera podatność w handlerze ADD_CALENDAR w defaultmodules/calendar/node_helper.js, który akceptuje kontrolowany przez atakującego URL, dane uwierzytelniające i ustawienie selfSignedCert przez nieuwierzytelnioną przestrzeń nazw Socket.IO /calendar. Handler przekazuje te pola do CalendarFetcher, powodując żądanie po stronie serwera bez walidacji SSRF i opcjonalnie wyłączając weryfikację TLS. Gdy odpowiedź jest prawidłowym iCal, CALENDAR_EVENTS zwraca dane zdarzeń atakującemu, umożliwiając eksfiltrację danych z wewnętrznych usług; inne odpowiedzi nadal zapewniają ślepe żądanie i prymityw czasowy. Problem naprawiono w wersji 2.37.0.
Ocena ryzyka
Ryzyko obejmuje eksfiltrację danych z wewnętrznych usług oraz możliwość skanowania sieci wewnętrznej, co może prowadzić do naruszenia poufności.
Rekomendacja
Zaleca się aktualizację MagicMirror² do wersji 2.37.0 lub nowszej oraz ograniczenie dostępu do przestrzeni nazw Socket.IO.
Oryginalny opis (angielski, źródło NVD)
MagicMirror² is an open source modular smart mirror platform. Prior to 2.37.0, the ADD_CALENDAR handler in defaultmodules/calendar/node_helper.js accepts an attacker-controlled URL, authentication data, and selfSignedCert setting through the unauthenticated Socket.IO namespace /calendar. The handler passes these fields to CalendarFetcher, causing a server-side request without SSRF validation and optionally disabling TLS verification. When the response is valid iCal, CALENDAR_EVENTS returns parsed event data to the attacker, allowing internal-service response data to be exfiltrated; other responses still provide a blind request and timing primitive. This issue is fixed in version 2.37.0.