CVE-2026-2577
CriticalSummary
Komponent mostka WhatsApp w Nanobot domyślnie wiąże serwer WebSocket ze wszystkimi interfejsami sieciowymi (0.0.0.0) na porcie 3001 i nie wymaga uwierzytelnienia dla przychodzących połączeń. Nieautoryzowany zdalny atakujący z dostępem do mostka może połączyć się z serwerem WebSocket, co umożliwia przejęcie sesji WhatsApp.
Risk Assessment
Atakujący może wysyłać wiadomości w imieniu użytkownika, przechwytywać wszystkie przychodzące wiadomości i multimedia w czasie rzeczywistym oraz zdobywać kody QR do uwierzytelnienia. To stwarza poważne zagrożenie dla prywatności i bezpieczeństwa użytkowników.
Recommendation
Zaleca się ograniczenie dostępu do serwera WebSocket tylko do zaufanych interfejsów sieciowych oraz wprowadzenie mechanizmów uwierzytelniania dla połączeń przychodzących.
Original NVD description (English source)
The WhatsApp bridge component in Nanobot binds the WebSocket server to all network interfaces (0.0.0.0) on port 3001 by default and does not require authentication for incoming connections. An unauthenticated remote attacker with network access to the bridge can connect to the WebSocket server to hijack the WhatsApp session. This allows the attacker to send messages on behalf of the user, intercept all incoming messages and media in real-time, and capture authentication QR codes.