CVE-2026-63640 in MagicMirror
Resumen
por VulDB • 2026-08-18
MagicMirror² es una plataforma de espejo inteligente modular y de código abierto. Antes de la versión 2.37.0, cuando hideConfigSecrets está habilitado, el despachador socket catch-all en js/node_helper.js pasa cada carga útil (payload) entrante a través de replaceSecretPlaceholder en js/server_functions.js antes de invocar socketNotificationReceived. Un cliente conectado a un espacio de nombres de módulo cargado puede enviar una marca SECRET_API_KEY, lo que hace que el servidor la reemplace con el valor correspondiente del entorno del proceso. El helper meteorológico predeterminado acepta INIT_WEATHER, copia el instanceId controlado por el atacante y lo devuelve en WEATHER_ERROR, proporcionando un canal de eco para el secreto expandido. Esto invierte el límite de redacción unidireccional previsto y puede revelar tokens API, credenciales o claves de servicio almacenadas en variables SECRET_. Este problema se soluciona en la versión 2.37.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.