CVE-2026-63640

MagicMirror² açıq mənbəli modulyar ağıllı güzgü platformasıdır. Versiya 2.37.0-dan əvvəl, hideConfigSecrets aktiv olduqda, js/node_helper.js faylındakı bütün sorğuları qəbul edən soket paylayıcısı (socket dispatcher), socketNotificationReceived funksiyasını çağırmazdan əvvəl hər bir daxil olan obyekt yükünü js/server_functions.js faylındakı replaceSecretPlaceholder funksiyasından keçirir. Yüklənmiş modul ad sahəsinə (namespace) qoşulmuş müştəri SECRET_API_KEY yer tutucusunu göndərə bilər ki, bu da serverin onu müvafiq proses mühit dəyəri ilə əvəz etməsinə səbəb olur. Standart hava proqnozu köməkçisi (weather helper) INIT_WEATHER mesajını qəbul edir, hücumçu tərəfindən idarə olunan instanceId-ni kopyalayır və onu WEATHER_ERROR mesajında geri qaytarır ki, bu da genişləndirilmiş gizli məlumat üçün əks-səda yolu yaradır. Bu, nəzərdə tutulan birtərəfli redaktə sərhədini pozur və SECRET_ dəyişənlərində saxlanılan API tokenlərinin, etibarnamələrin və ya xidmət açarlarının ifşa olunmasına səbəb ola bilər. Bu problem 2.37.0 versiyasında düzəldilmişdir.