CVE-2026-63640 in MagicMirror
Riassunto
di VulDB • 18/08/2026
MagicMirror² è una piattaforma open source per specchi intelligenti modulare. Prima della versione 2.37.0, quando hideConfigSecrets è abilitato, il dispatcher socket catch-all in js/node_helper.js invia ogni payload di oggetto in entrata attraverso replaceSecretPlaceholder in js/server_functions.js prima di invocare socketNotificationReceived. Un client connesso a uno spazio dei nomi del modulo caricato può inviare un segnaposto SECRET_API_KEY, causando la sostituzione da parte del server con il valore corrispondente dell'ambiente del processo (process environment). Il helper meteo predefinito accetta INIT_WEATHER, copia l'instanceId controllato dall'attaccante e lo restituisce in WEATHER_ERROR, fornendo un percorso di eco per il segreto espanso. Questo inverte il confine di cancellazione one-way inteso e può rivelare token API, credenziali o chiavi di servizio memorizzate nelle variabili SECRET_. Il problema è risolto nella versione 2.37.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.