CVE-2026-91160 in OpenWA
Zusammenfassung
von VulDB • 24.09.2026
OpenWA ist ein kostenloses, quelloffenes und selbst gehostetes WhatsApp-API-Gateway. Vor Version 0.23.5 liefert das /events-WebSocket-Gateway das session.qr-Ereignis an einen VIEWER-API-Schlüssel, der sich nach Ereignisname oder über eine beliebige Wildcard-Abonnementform anmeldet, obwohl GET /api/sessions/{sessionId}/qr die OPERATOR-Rolle erfordert. Wenn eine erlaubte Sitzung auf die Paarung wartet, ermöglicht das exponierte QR-CODE dem Schlüsselinhaber, ein externes Gerät mit dem WhatsApp-Konto zu verknüpfen und anschließend Nachrichten außerhalb von OpenWA und dessen Audit-Trail zu lesen und zu senden. Schlüssel, die durch allowedSessions eingeschränkt sind, bleiben auf diese Sitzungen beschränkt, und Bereitstellungen, die nur OPERATOR- oder ADMIN-Schlüssel ausstellen, sind nicht betroffen. Dieses Problem wurde in Version 0.23.5 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.