PT-2026-77238
CVE-2026-63643
·
تاريخ النشر
2026-08-18
·
تاريخ التحديث
2026-10-01
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MagicMirror² الأقدم من 2.37.0
الوصف
يقبل معالج
ADD CALENDAR الموجود في ملف defaultmodules/calendar/node helper.js عنوان URL يتحكم فيه المهاجم، وبيانات المصادقة، وإعداد selfSignedCert عبر مساحة اسم Socket.IO غير المصادق عليها /calendar. يقوم المعالج بتمرير هذه الحقول إلى CalendarFetcher، مما يؤدي إلى إرسال طلب من جانب الخادم دون التحقق من تزوير الطلبات من جانب الخادم (SSRF) — وهي ثغرة يتم فيها خداع الخادم لإرسال طلبات إلى موقع غير مقصود — وإلى تعطيل التحقق من TLS بشكل اختياري. إذا كانت الاستجابة صالحة بتنسيق iCal، فإن CALENDAR EVENTS تُرجع بيانات الأحداث التي تم تحليلها إلى المهاجم، مما يتيح تسريب بيانات استجابة الخدمة الداخلية. لا تزال الاستجابات الأخرى تسمح بإجراء طلب أعمى واستخدام أسلوب التوقيت البدائي.التوصيات
التحديث إلى الإصدار 2.37.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾