CVE-2026-91161
Açıklama
OpenWA, ücretsiz, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir WhatsApp API ağ geçididir. 0.23.5 sürümünden önce, GET /api/sessions/{sessionId}/groups/{groupId}/invite-code uç noktası ve GroupGetInviteCode MCP aracı herhangi bir OPERATOR rolü gereksinimi duymamaktadır; bu durum, bir oturumla sınırlandırılmış geçerli bir VIEWER anahtarının aktif bir grup davet kodu almasına olanak tanır. Davet kodu aktarılabilir bir WhatsApp taşıyıcı yeteneği olduğundan, harici bir hesap OpenWA kimlik bilgileri olmadan oturum tarafından yönetilen bir gruba katılabilir, grubun okuma ve paylaşım erişimini elde edebilir ve VIEWER anahtarı iptal edildikten sonra da üyeliğini koruyabilir. Etkilenen kurulumlar, yönetilen gruplara hesap eklememesi gereken taraflara VIEWER anahtarları verenlerdir; OPERATOR ve ADMIN erişimi amaçlanmıştır. Bu sorun 0.23.5 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rmyndharis OpenWA | < 0.23.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.