CVE-2026-46555 in whatsapp-mcp
要約
〜によって VulDB • 2026年07月20日
WhatsApp MCP Serverは、ClaudeがWhatsAppメッセージの読み取りと送信を可能にするWhatsApp用のModel Context Protocol（MCP）サーバーです。バージョン0.2.1より前では、`whatsapp-bridge` HTTP APIは認証なしでHostヘッダー検証も行わずに `127.0.0.1:8080` でリスンしており、 `/api/send` エンドポイントは安全なディレクトリ内に制限することなく絶対パスの `media_path` パラメータを受け入れます。これらの問題が組み合わさることで、同じユーザーとして実行されている任意のローカルプロセスは、ペアリングされたアカウントからWhatsAppメッセージを認可なしで送信できます。また、同一呼び出し元は読み取り可能な任意のファイル（SSH秘密鍵、ブラウザセッションデータ、ソースコード、ドットファイルなど）を読み取り、それらをWhatsAppのドキュメント添付ファイルとして外部に持ち出すことができます。さらに、Hostヘッダー検証が行われないため、リモート攻撃者はユーザーが訪問するWebページからDNSリバインディングを介して同じ操作を引き起こすことが可能です。MCP環境において、「ローカル呼び出し元」には、ユーザーが明示的に起動したプロセスだけでなく、兄弟関係にあるMCPサーバー、IDE拡張機能、およびユーザーセッション内で実行されるツールトリガーフローが含まれます。この問題は whatsapp-mcp v0.2.1 および対応するDockerイメージ/リリースアーティファクトで修正されています。ユーザーは直ちにアップグレードする必要があります。修正では、ブリッジHTTP APIにベアラートークン認証（環境変数経由で設定され、すべてのリクエストに対して必須であり、定時間比較で検証されます）を導入し、DNSリバインディングを防ぐためのHostヘッダー許可リスト検証を行い、`media_path` を構成されたディレクトリ内に制限して、ルート外にある絶対パスやパストラバーサルシーケンスを拒否します。これはブリッジAPIのクライアントにとって破壊的変更となります。直ちにアップグレードできないユーザー向けには：ブリッジを使用していない間は停止するかポート8080へのループバックアクセスをブロックする；信頼できないMCPサーバー、ブラウザ拡張機能、または他の信頼できないローカルプロセスと一緒にブリッジを実行しない；ブリージ実行中に信頼できないサイトを閲覧しない（DNSリバインディング対策）；および/または、機密ファイルにアクセス権限のない専用ユーザーアカウントまたはサンドボックス/コンテナ内でブリージを実行してください。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.