CVE-2026-63643
MagicMirror: ssrf calendar .js
- प्रकाशित
- 18 अग॰ 2026
- अद्यतन
- 19 अग॰ 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 10 सित॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 50.4%
- मॉडल दिनांक
- 13 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
MagicMirror² एक ओपन सोर्स मॉड्यूलर स्मार्ट मिरर प्लेटफ़ॉर्म है। 2.37.0 से पहले, defaultmodules/calendar/node_helper.js में ADD_CALENDAR हैंडलर अनऑथेंटिकेटेड Socket.IO नेमस्पेस /calendar के माध्यम से हमलावर-नियंत्रित URL, प्रमाणीकरण डेटा, और selfSignedCert सेटिंग स्वीकार करता है। हैंडलर इन फ़ील्ड्स को CalendarFetcher को पास करता है, जिससे SSRF सत्यापन के बिना सर्वर-साइड रिक्वेस्ट होता है और वैकल्पिक रूप से TLS सत्यापन अक्षम हो जाता है। जब प्रतिक्रिया वैध iCal होती है, तो CALENDAR_EVENTS पार्स किए गए इवेंट डेटा को हमलावर को लौटाता है, जिससे आंतरिक-सेवा प्रतिक्रिया डेटा को exfiltrate किया जा सकता है; अन्य प्रतिक्रियाएँ अभी भी एक ब्लाइंड रिक्वेस्ट और टाइमिंग प्रिमिटिव प्रदान करती हैं। यह समस्या संस्करण 2.37.0 में ठीक की गई है।
स्रोत
CVE-2026-63642 और CVE-2026-63643 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट स्क्रिप्ट, MagicMirror² के Calendar मॉड्यूल में SSRF कमजोरियाँ जो अनधिकृत आंतरिक HTTP अनुरोधों की अनुमति देती हैं।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।