CVE-2026-63641

Nome do Software Vulnerável e Versões Afetadas MagicMirror² versões anteriores a 2.37.0

Description A aplicação aplica o ipWhitelist apenas como middleware do Express, deixando o servidor Socket.IO em js/server.js conectado ao servidor HTTP sem verificações equivalentes de lista de permissão de IP, origem ou autenticação de namespace. Em implantações non-loopback que dependem do ipWhitelist, um cliente não autenticado em uma rede adjacente pode se conectar diretamente aos namespaces do Socket.IO do módulo. Isso permite que o js/node helper.js envie eventos e payloads arbitrários para socketNotificationReceived(). Consequentemente, os helpers padrão de newsfeed e calendário podem fazer requisições do lado do servidor para URLs selecionadas por um invasor. Além disso, o helper updatenotification padrão pode alcançar o child process.exec() quando uma atualização de módulo de terceiros está pendente e o invasor fornece um comando de atualização através do caminho CONFIG do socket. Isso pode expor serviços internos, manipular o estado do module-helper e executar comandos condicionalmente.

Recommendations Atualizar para a versão 2.37.0.