CVE-2026-63640 in MagicMirror
الملخص
بحسب VulDB • 18/08/2026
MagicMirror² هو منصة مرآة ذكية مفتوحة المصدر وقابلة للتوسيع باستخدام وحدات نمطية (modules). قبل الإصدار 2.37.0، عندما يكون خيار `hideConfigSecrets` مفعّلاً، يقوم مُوجّه المقبس الشامل (`catch-all socket dispatcher`) الموجود في الملف `js/node_helper.js` بتمرير كل حمولة كائنات واردة عبر دالة `replaceSecretPlaceholder` الموجودة في `js/server_functions.js` قبل استدعاء `socketNotificationReceived`. يمكن لعميل متصل باسم مساحة (namespace) وحدة نمطية محمّلة تقديم وسيط (`placeholder`) من نوع `SECRET_API_KEY`، مما يتسبب في استبدال الخادم له بالقيمة المقابلة المخزنة في متغيرات بيئة العملية. تقبل مساعدة الطقس الافتراضية أمر `INIT_WEATHER`، وتنسخ قيمة `instanceId` التي يسيطر عليها المهاجم، وتعيدها ضمن رسالة `WEATHER_ERROR`، مما يوفر مساراً للصدى (echo path) يكشف عن القيمة الموسعة للسريّة. يؤدي هذا إلى عكس حدود الحذف أحادية الاتجاه المقصودة ويمكن أن يُفضي إلى كشف رموز واجهة برمجة التطبيقات (API tokens)، أو بيانات الاعتماد، أو مفاتيح الخدمات المخزنة في المتغيرات التي تبدأ بـ `SECRET_`. تم إصلاح هذه المشكلة في الإصدار 2.37.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.