CVE-2026-91160 in OpenWA
요약
\~에 의해 VulDB • 2026. 09. 24.
OpenWA는 무료이며 오픈 소스인 자체 호스팅 WhatsApp API 게이트웨이입니다. 버전 0.23.5 이전에서는 /events WebSocket 게이트웨이가 이벤트 이름으로 구독하거나 와일드카드 구독 형식 중 하나를 통해 구독한 VIEWER API 키에 session.qr 이벤트를 전달합니다. 이는 GET /api/sessions/{sessionId}/qr이 OPERATOR 역할을 요구함에도 불구하고 발생합니다. 허용된 세션이 페어링을 기다리는 동안 노출된 QR 코드로 인해 키 소유자는 외부 기기를 WhatsApp 계정에 연결하고 OpenWA 및 감사 추적 밖에서 메시지를 읽고 보낼 수 있습니다. allowedSessions를 통해 제한된 키는 해당 세션으로만 제한되며, OPERATOR 또는 ADMIN 키만 발급하는 배포 환경은 영향을 받지 않습니다. 이 문제는 버전 0.23.5에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.