🇰🇷 한글 설명
OpenWA 0.23.5 미만 버전에서 특정 API 엔드포인트에 OPERATOR 권한 요구사항이 누락되어, VIEWER 권한만 가진 사용자가 그룹 초대 코드를 탈취할 수 있는 취약점이 발견되었습니다. 공격자는 이 코드를 이용해 OpenWA 계정 없이도 해당 그룹에 참여하여 메시지를 읽거나 게시할 수 있으며, 권한이 회수된 후에도 그룹 멤버십을 유지할 수 있습니다.
💡 쉬운 설명
낮은 권한을 가진 사용자가 관리자만 볼 수 있는 그룹 초대 링크를 몰래 알아낼 수 있는 문제입니다. 이를 통해 외부인이 허락 없이 단체 채팅방에 들어와 대화를 훔쳐보거나 메시지를 보낼 수 있습니다.
🇺🇸 원문 (English)
OpenWA is a free, open source, self-hosted WhatsApp API gateway. Prior to 0.23.5, the GET /api/sessions/{sessionId}/groups/{groupId}/invite-code endpoint and the GroupGetInviteCode MCP tool have no OPERATOR role requirement, allowing a valid VIEWER key scoped to a session to retrieve an active group invite code. The invite code is a transferable WhatsApp bearer capability, so an external account can join a group administered by the session without an OpenWA credential, gain read and post access to the group, and retain membership after the VIEWER key is revoked. Affected deployments are those that issue VIEWER keys to parties who should not be able to add accounts to administered groups; OPERATOR and ADMIN access is intended. This issue is fixed in version 0.23.5.
📍 영향받는 시스템
OpenWA 버전 0.23.5 미만
⚔️ 공격 벡터
VIEWER 권한을 가진 사용자가 특정 API 엔드포인트를 호출하여 그룹 초대 코드를 탈취
🛡️ 대응 방법
OpenWA를 최신 버전인 0.23.5 이상으로 업데이트
🔧 검증 코드
명령어 결과에 0.23.5 이상의 버전 번호가 포함되어 있으면 취약점이 해결된 상태입니다.
curl -s http://<target-ip>:<port>/version | grep -E '0.23.5'