CVE-2026-63640 in MagicMirror
요약
\~에 의해 VulDB • 2026. 08. 18.
MagicMirror²는 오픈 소스 모듈형 스마트 미러 플랫폼입니다. 버전 2.37.0 이전에서는 hideConfigSecrets가 활성화된 경우, js/node_helper.js의 catch-all socket dispatcher가 socketNotificationReceived를 호출하기 전에 모든 수신 객체 페이로드를 js/server_functions.js의 replaceSecretPlaceholder로 전달합니다. 로드된 모듈 네임스페이스에 연결된 클라이언트는 SECRET_API_KEY 플레이스홀더를 제출하여 서버가 해당 값을 프로세스 환경 변수 값으로 치환하도록 할 수 있습니다. 기본 날씨 헬퍼는 INIT_WEATHER를 수신하고 공격자가 제어하는 instanceId를 복사한 후 WEATHER_ERROR 응답에서 이를 반환함으로써 확장된 비밀 정보를 유출할 수 있는 에코 경로를 제공합니다. 이는 의도된 단방향 삭제(redaction) 경계를 역전시켜 SECRET_ 변수에 저장된 API 토큰, 자격 증명 또는 서비스 키가 노출될 수 있습니다. 이 문제는 버전 2.37.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.