CVE-2026-91160
Təsvir
OpenWA pulsuz, açıq mənbəli və özünə aid serverdə yerləşdirilən WhatsApp API şlüzüdür. Versiya 0.23.5-dən əvvəl, /events WebSocket şlüzü, hətta GET /api/sessions/{sessionId}/qr sorğusu üçün OPERATOR rolu tələb olunsa belə, hadisə adı ilə və ya hər hansı bir ulduz işarəli (wildcard) abunəlik forması vasitəsilə abunə olan VIEWER API açarına session.qr hadisəsini ötürür. İcazə verilmiş sessiya cütləşməni gözləyərkən, açıqlanan QR kodu açarın sahibinə kənar cihazı WhatsApp hesabına bağlamağa və daha sonra mesajları OpenWA-dan və onun audit izindən kənar oxumağa və göndərməyə imkan verir. allowedSessions vasitəsilə məhdudlaşdırılmış açarlar həmin sessiyalarla məhdud qalır və yalnız OPERATOR və ya ADMIN açarları təqdim edən tətbiqlər bu problemdən təsirlənmir. Bu problem 0.23.5 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| rmyndharis OpenWA | < 0.23.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.