🇰🇷 한글 설명
WPPConnect Server 2.10.74 이하 버전에는 인증 누락 취약점이 존재합니다. verifyToken 미들웨어 없이 Chatwoot 웹훅 경로가 노출되어 있어 인증되지 않은 공격자도 요청을 보낼 수 있습니다. 공격자가 연결된 세션 이름을 알거나 추측하면 해당 계정으로 임의의 텍스트나 파일을 임의의 번호에 전송할 수 있습니다.
💡 쉬운 설명
로그인 없이도 누군가 메신저 계정을 이용해 메시지를 보낼 수 있는 보안 결함입니다. 세션 이름만 알면 공격자가 피해 계정 명의로 스팸이나 악성 파일을 보낼 수 있습니다.
🇺🇸 원문 (English)
WPPConnect Server through 2.10.74 contains a missing authentication vulnerability that allows unauthenticated attackers to send WhatsApp messages by calling the Chatwoot webhook route without verifyToken middleware. Attackers who know or guess a connected session name can POST outgoing message bodies to send arbitrary texts or files from that account to any number.
📍 영향받는 시스템
WPPConnect Server 2.10.74 이하 버전 (Chatwoot 웹훅 연동 사용 환경)
⚔️ 공격 벡터
인증 없이 Chatwoot 웹훅 경로에 세션 이름과 메시지 본문을 POST 요청하여 연결된 WhatsApp 계정으로 메시지 발송
🛡️ 대응 방법
WPPConnect Server를 2.10.75 이상으로 업그레이드하고 웹훅 라우트에 verifyToken 미들웨어를 적용
🔧 검증 코드
출력된 버전이 2.10.74 이하이면 취약하며, 2.10.75 이상이거나 명령 결과가 없으면 패치되었거나 미설치 상태입니다.
npm ls @wppconnect-team/wppconnect 2>/dev/null | grep wppconnect