CVE-2026-63641

MagicMirror², açık kaynaklı modüler bir akıllı ayna platformudur. 2.37.0 sürümünden önce MagicMirror, ipWhitelist özelliğini yalnızca Express ara yazılımı olarak uygularken; js/server.js içindeki Socket.IO sunucusu, eşdeğer bir IP izin listesi, origin veya ad alanı kimlik doğrulama kontrolleri olmaksızın doğrudan HTTP sunucusuna bağlanmıştır. ipWhitelist özelliğine güvenen ve belgelenmiş loopback dışı bir dağıtımda, kimliği doğrulanmamış komşu ağdaki bir istemci, modül Socket.IO ad alanlarına doğrudan bağlanabilir ve js/node_helper.js rastgele olayları ve yükleri socketNotificationReceived fonksiyonuna iletebilir. Varsayılan haber kaynağı ve takvim yardımcıları, saldırgan tarafından seçilen URL'lere sunucu tarafında istekler gönderebilirken; varsayılan güncellemenotifikasyonu yardımcısı, üçüncü taraf bir modül güncellemesi beklediğinde ve saldırgan socket CONFIG yolu üzerinden bir güncelleme komutu sağladığında child_process.exec fonksiyonuna erişebilir. Bu durum dahili servislerin açığa çıkmasına, modül-yardımcı durumunun manipüle edilmesine ve koşullu olarak komut çalıştırılmasına yol açabilir. Bu sorun 2.37.0 sürümünde düzeltilmiştir.