CVE-2026-91161
Təsvir
OpenWA pulsuz, açıq mənbəli və özünə aid serverdə yerləşdirilən WhatsApp API şlüzüdür. Versiya 0.23.5-dək olan versiyalarda GET /api/sessions/{sessionId}/groups/{groupId}/invite-code son nöqtəsi və GroupGetInviteCode MCP aləti üçün OPERATOR rolu tələbi yoxdur ki, bu da sessiya ilə əlaqəli etibarlı VIEWER açarının aktiv qrup dəvət kodunu əldə etməsinə şərait yaradır. Dəvət kodu ötürülə bilən WhatsApp bearer imkanıdır, buna görə də kənar hesab OpenWA etibarnaməsi olmadan sessiya tərəfindən idarə olunan qrupa qoşula, qrupu oxuma və mesaj göndərmə hüququ qazana və VIEWER açarı ləğv edildikdən sonra da üzvlüyünü saxlaya bilər. Təsirə məruz qalan tətbiqlər, idarə olunan qruplara hesablar əlavə etməməli olan tərəflərə VIEWER açarları verilən hallardır; burada OPERATOR və ADMIN girişinin nəzərdə tutulduğu bildirilir. Bu problem 0.23.5 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| rmyndharis OpenWA | < 0.23.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.