CVE-2026-91161

Nome do Software Vulnerável e Versões Afetadas OpenWA versões anteriores a 0.23.5

Description Existe um problema onde o endpoint 'GET /api/sessions/{sessionId}/groups/{groupId}/invite-code' e a ferramenta MCP GroupGetInviteCode não exigem a função OPERATOR. Isso permite que um usuário com uma chave VIEWER válida vinculada a uma sessão recupere um código de convite de grupo ativo. Como o código de convite funciona como uma capacidade de portador (bearer capability) do WhatsApp transferível, uma conta externa pode usá-lo para ingressar em um grupo administrado pela sessão sem a necessidade de credenciais do OpenWA. Isso concede à conta externa acesso de leitura e postagem no grupo, e ela permanece como membro mesmo após a revogação da chave VIEWER.

Recommendations Atualize para a versão 0.23.5. Restrinja a emissão de chaves VIEWER para partes que não devem ser capazes de adicionar contas a grupos administrados, garantindo que apenas o acesso OPERATOR e ADMIN seja concedido para tais ações.