CVE-2026-91160

WysokieCVSS 8.2

Opublikowano: 24/09/2026(UTC)Zaktualizowano: 05/10/2026(UTC)Przetłumaczono: 24/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

W OpenWA przed wersją 0.23.5, brama WebSocket /events dostarcza zdarzenie session.qr do klucza API VIEWER, gdy subskrybuje on według nazwy zdarzenia lub przez wildcard, mimo że GET /api/sessions/{sessionId}/qr wymaga roli OPERATOR. Gdy sesja oczekuje na parowanie, ujawniony QR pozwala posiadaczowi klucza podłączyć zewnętrzne urządzenie do konta WhatsApp i czytać oraz wysyłać wiadomości poza OpenWA i jego ścieżką audytową. Klucze ograniczone przez allowedSessions pozostają ograniczone do tych sesji.

Ocena ryzyka

Osoba posiadająca klucz VIEWER może uzyskać dostęp do konta WhatsApp, przejąć sesję i wysyłać wiadomości bez śladów audytowych, co może prowadzić do wycieku danych lub nadużyć.

Rekomendacja

Zaktualizuj OpenWA do wersji 0.23.5. Regularnie przeglądaj wydawane klucze API i rozważ ograniczenie uprawnień VIEWER.

Inne podatności w OpenWA

CVE-2026-91161Średnie
OpenWA przed wersją 0.23.5 pozwala użytkownikowi z kluczem VIEWER na pobranie kodu zaproszenia do grupy, bez wymagania roli OPERATOR. Kod zaproszenia jest przenośny, przez co nieautoryzowane konto może dołączyć do grupy, czytać i pisać wiadomości, a także pozostać członkiem po unieważnieniu klucza VIEWER.

Oryginalny opis (angielski, źródło NVD)

OpenWA is a free, open source, self-hosted WhatsApp API gateway. Prior to 0.23.5, the /events WebSocket gateway delivers the session.qr event to a VIEWER API key that subscribes by event name or through either wildcard subscription form, even though GET /api/sessions/{sessionId}/qr requires the OPERATOR role. When an allowed session is waiting to be paired, the exposed QR lets the key holder link an external device to the WhatsApp account and then read and send messages outside OpenWA and its audit trail. Keys restricted through allowedSessions remain limited to those sessions, and deployments that issue only OPERATOR or ADMIN keys are not affected. This issue is fixed in version 0.23.5.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS