CVE-2026-91161 in OpenWA
요약
\~에 의해 VulDB • 2026. 09. 24.
OpenWA는 무료, 오픈 소스이며 자체 호스팅되는 WhatsApp API 게이트웨이입니다. 버전 0.23.5 이전에서는 `GET /api/sessions/{sessionId}/groups/{groupId}/invite-code` 엔드포인트와 GroupGetInviteCode MCP 도구에 OPERATOR 역할 요구사항이 없어, 세션에 스코프된 유효한 VIEWER 키를 사용하여 활성 그룹 초대 코드를 조회할 수 있습니다. 이 초대 코드는 이전 가능한 WhatsApp 베어러 권한(bearer capability)이므로, 외부 계정은 OpenWA 자격 증명이 없어도 세션에서 관리하는 그룹에 가입하고 해당 그룹의 읽기 및 게시 접근 권한을 획득하며, VIEWER 키가 무효화된 후에도 멤버십을 유지할 수 있습니다. 영향을 받는 배포 환경은 관리되는 그룹에 계정 추가를 허용해서는 안 되는 당사자에게 VIEWER 키를 발급한 경우입니다; OPERATOR 및 ADMIN 액세스는 의도된 것입니다. 이 문제는 버전 0.23.5에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.