CVE-2026-63640
Açıklama
MagicMirror², açık kaynaklı modüler bir akıllı ayna platformudur. 2.37.0 sürümünden önce, hideConfigSecrets etkinleştirildiğinde, js/node_helper.js içindeki catch-all socket dispatcher, socketNotificationReceived çağrılmadan önce her gelen nesne yükünü js/server_functions.js içindeki replaceSecretPlaceholder üzerinden geçirir. Yüklenmiş bir modül ad alanına bağlı bir istemci, bir SECRET_API_KEY yer tutucusu gönderebilir ve sunucunun bunu ilgili süreç ortam değişkeni değeriyle değiştirmesine neden olabilir. Varsayılan weather helper, INIT_WEATHER'ı kabul eder, saldırgan tarafından kontrol edilen instanceId'yi kopyalar ve WEATHER_ERROR içinde döndürür; bu da genişletilmiş gizli değer için bir yankı yolu sağlar. Bu durum, amaçlanan tek yönlü redaksiyon sınırını tersine çevirir ve SECRET_ değişkenlerinde saklanan API belirteçlerini, kimlik bilgilerini veya hizmet anahtarlarını açığa çıkarabilir. Bu sorun 2.37.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- magicmirror2.37.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| magicmirrornpm | v < 2.37.0 | 2.37.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.