خادم WPPConnect Server حتى الإصدار 2.10.74 يعاني من غياب المصادقة عبر المسار \/api\/:session\/chatwoot

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

خادم WPPConnect Server حتى الإصدار 2.10.74 يحتوي على ثغرة غياب المصادقة التي تسمح للمهاجمين دون مصادقة بإرسال رسائل WhatsApp عن طريق استدعاء مسار خطأ ويب Chatwoot دون وسيط التحقق verifyToken. يمكن للمهاجمين الذين يعرفون أو يخمنون اسم جلسة متصلة إرسال أجسام رسائل صادرة بطلب POST لإرسال نصوص أو ملفات عشوائية من ذلك الحساب إلى أي رقم.

المعالجة

1. أحصِ جميع نشرات wppconnect wppconnect-server، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تصحيحhttps://github.com/wppconnect-team/wppconnect-server/pull/2702
• تحذيرhttps://www.vulncheck.com/advisories/wppconnect-server-through-2.10.74-missing-authentication-via-api-session-chatwoot
• مرجعhttps://github.com/wppconnect-team/wppconnect-server/issues/2701
• مرجعhttps://github.com/wppconnect-team/wppconnect-server
• مرجعhttps://github.com/wppconnect-team/wppconnect-server/blob/v2.10.74/src/routes/index.ts#L963
• مرجعhttps://github.com/wppconnect-team/wppconnect-server/blob/v2.10.74/src/controller/deviceController.ts#L2230-L2324