CVE-2026-63640 in MagicMirror
Zusammenfassung
von VulDB • 18.08.2026
MagicMirror² ist eine Open-Source-Plattform für modulare Smart Mirrors. Vor Version 2.37.0 leitet der Catch-All-Socket-Dispatcher in js/node_helper.js, wenn hideConfigSecrets aktiviert ist, jedes eingehende Objekt-Payload durch replaceSecretPlaceholder in js/server_functions.js, bevor socketNotificationReceived aufgerufen wird. Ein mit einem geladenen Modul-Namespace verbundener Client kann einen SECRET_API_KEY-Platzhalter einreichen, wodurch der Server diesen durch den entsprechenden Wert aus dem Prozessumgebungswert ersetzt. Der Standard-Wetter-Helfer akzeptiert INIT_WEATHER, kopiert die vom Angreifer kontrollierte instanceId und gibt sie in WEATHER_ERROR zurück, was einen Echo-Pfad für das erweiterte Geheimnis bereitstellt. Dies kehrt die beabsichtigte einseitige Redaktionsgrenze um und kann API-Tokens, Anmeldeinformationen oder Dienstschlüssel offenlegen, die in SECRET_-Variablen gespeichert sind. Dieses Problem wurde in Version 2.37.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.