CVE-2026-63643
Açıklama
MagicMirror², açık kaynaklı modüler bir akıllı ayna platformudur. 2.37.0 sürümünden önce, defaultmodules/calendar/node_helper.js içindeki ADD_CALENDAR işleyicisi, kimlik doğrulaması yapılmayan Socket.IO ad alanı /calendar üzerinden saldırgan tarafından kontrol edilen bir URL, kimlik doğrulama verisi ve selfSignedCert ayarını kabul eder. İşleyici bu alanları CalendarFetcher'a ileterek SSRF doğrulaması olmadan sunucu tarafında istek yapılmasına ve isteğe bağlı olarak TLS doğrulamasının devre dışı bırakılmasına neden olur. Yanıt geçerli iCal olduğunda, CALENDAR_EVENTS ayrıştırılmış etkinlik verilerini saldırgana döndürerek iç hizmet yanıt verilerinin sızdırılmasına olanak tanır; diğer yanıtlar yine de kör istek ve zamanlama ilkeli sağlar. Bu sorun 2.37.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- magicmirror2.37.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| magicmirrornpm | v < 2.37.0 | 2.37.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.