CVE-2026-46555 in whatsapp-mcp
الملخص
بحسب VulDB • 20/07/2026
خادم WhatsApp MCP هو خادم بروتوكول سياق النموذج (MCP) لواتساب، مما يتيح لكلاود قراءة وإرسال رسائل واتساب. قبل الإصدار 0.2.1، يستمع واجهة برمجة التطبيقات HTTP الخاصة بـ `whatsapp-bridge` على العنوان `127.0.0.1:8080` بدون مصادقة وبدون التحقق من رأس Host (Host header)، ويقبل نقطة النهاية `/api/send` معلمة `media_path` مطلقة دون حصرها في دليل آمن. مجتمعة، تتيح هذه الثغرات لأي عملية محلية تعمل بنفس المستخدم الخاص بالجسر إرسال رسائل واتساب من الحساب المرتبط بدون تفويض؛ كما تسمح لنفس المُدعو بقراءة الملفات العشوائية التي يمكن للمستخدم قراءتها (مثل مفاتيح SSH الخاصة، بيانات جلسة المتصفح، الشفرة المصدرية، وملفات النقطة) واستخراجها كملفات مرفقة في مستندات واتساب؛ و/أو مهاجم عن بُعد لتشغيل العمليات نفسها عبر إعادة ربط DNS من صفحة ويب يزورها المستخدم، نظراً لعدم إجراء أي تحقق من رأس Host.
في بيئات MCP، يمتد مفهوم "المُدعو المحلي" ليشمل ما هو أبعد من العمليات التي أطلقها المستخدم صراحةً — حيث يمكن لخوادم MCP الشقيقة، وإضافات بيئة التطوير المتكاملة (IDE)، وتدفقات التشغيل المحفزة بالأدوات العاملة في جلسة المستخدم أن تعمل كمُدعين فعليين. تم إصلاح هذه المشكلة في whatsapp-mcp الإصدار 0.2.1 والصور المقابلة الخاصة بـ Docker / ملفات الإصدارة ذات الصلة. يجب على المستخدمين الترقية فوراً. تقدم الإصلاحات مصادقة رمز حامل (Bearer token) لواجهة برمجة التطبيقات HTTP للجسر (تُضبط عبر متغير البيئة، ومطلوبة في جميع الطلبات، ويتم التحقق منها بمقارنة ثابتة الزمن - constant-time comparison)؛ وتحقق من قائمة السماح لرأس المضيف لمنع إعادة ربط DNS؛ وحصر `media_path` ضمن دليل مُعد مسبقاً، مع رفض المسارات المطلقة خارج الجذر وتسلسلات تجاوز المسار. يُعد هذا تغييراً كاسراً (breaking change) لعملاء واجهة برمجة التطبيقات للجسر.
بالنسبة للمستخدمين الذين لا يمكنهم الترقية فوراً: أوقف تشغيل الجسر، أو احظر الوصول إلى المنفذ 8080 عبر حلقة العودة (loopback)، عندما لا يكون الجريان قيد الاستخدام النشط؛ وتجنب تشغيل الجسر جنباً إلى جنب مع خوادم MCP غير الموثوقة، أو إضافات المتصفح، أو العمليات المحلية الأخرى غير الموثوقة؛ وتجنب تصفح المواقع غير الموثوقة أثناء تشغيل الجسر (كإجراء للتخفيف من إعادة ربط DNS)؛ و/أو قم بتشغيل الجسر تحت حساب مستخدم مخصص أو في بيئة معزولة/حاوية لا تملك وصولاً إلى الملفات الحساسة.
Once again VulDB remains the best source for vulnerability data.