hakaioffsec/cve-2026-63642CVE-2026-63642 및 CVE-2026-63643에 대한 개념 증명 익스플로잇 스크립트로, MagicMirror²의 Calendar 모듈에서 인증 없이 내부 HTTP 요청을 허용하는 SSRF 취약점입니다.
MagicMirror²의 Calendar 모듈에 존재하는 서버 측 요청 위조(Server-Side Request Forgery) 취약점인 CVE-2026-63642 및 CVE-2026-63643에 대한 개념 증명 익스플로잇으로, 인증되지 않은 공격자가 서버로 하여금 내부 서비스에 임의의 HTTP 요청을 보내도록 강제할 수 있습니다.
설치:
$ npm init -y
$ npm install socket.io-client
사용법:
# CVE-2026-63642 - 기본 SSRF
$ node cve-2026-63642.js
# CVE-2026-63643 - TLS 우회 및 iCal 유출을 동반한 SSRF
$ node cve-2026-63643.js
/calendar Socket.IO 네임스페이스는 사용자가 제어하는 url 매개변수를 포함한 ADD_CALENDAR 이벤트를 허용합니다. 서버는 검증 없이 이 URL을 가져오므로 내부 서비스로의 요청이 가능합니다:
socket.emit("ADD_CALENDAR", { url: "http://internal-service/" });
CVE-2026-63643은 selfSignedCert: true를 통해 이를 확장하여 TLS 검증을 우회하고 내부 캘린더의 iCal 콘텐츠를 유출합니다.
/calendar 네임스페이스 → ADD_CALENDAR 이벤트CWE-918 서버 측 요청 위조. 인증되지 않은 공격자는 다음을 수행할 수 있습니다:
selfSignedCert 우회를 통한 iCal 파싱7.5 High CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
이 도구는 교육 및 연구 목적으로만 제공됩니다. 본인이 소유하거나 테스트에 대한 명시적 허가를 받은 시스템에서만 사용하십시오. 저자는 이 프로그램으로 인해 발생하는 어떠한 오용이나 손해에 대해서도 책임지지 않습니다.
QuimeraX Intelligence는 복잡한 시스템의 치명적인 취약점을 식별하는 데 특화된 고급 EASM 및 사이버 위협 인텔리전스 플랫폼입니다. 이 플랫폼은 보안 위협을 사전에 모니터링, 탐지, 경고하여 고객에게 투명성과 잠재적 위험에 대한 신속한 대응을 보장합니다. 고객의 시스템이 취약한 것으로 확인되면 즉시 알림과 종합 보고서를 받아 보호 조치를 취할 수 있습니다. 자세히 알아보기
Hakai Security는 보안 전문가들이 설립한 사이버 보안 회사로 기술적 탁월성에 전념하고 있습니다. 우리는 고급 침투 테스트, 현실적인 Red Team 시뮬레이션, 안전한 개발 관행을 포함한 맞춤형 보안 솔루션을 제공하여 고객의 자산을 진화하는 사이버 위협으로부터 사전에 보호합니다.
Hacking Club은 보안 컨설팅 회사에서 근무하는 전문가들이 만든 실습 수업, 랩, 챌린지를 통해 사이버 보안을 배우는 교육 플랫폼입니다: 전장에서 바로 여러분의 교육으로.