JVNDB-2026-029083

Very Good PluginsのWhatsApp MCP Serverにおける複数の脆弱性

WhatsApp MCPサーバーは、WhatsApp向けのモデルコンテキストプロトコル（MCP）サーバーであり、ClaudeがWhatsAppメッセージを読み書きできるようにします。バージョン0.2.1以前では、`whatsapp-bridge`のHTTP APIが認証なしかつHostヘッダーの検証なしで`127.0.0.1:8080`で待ち受けており、`/api/send`エンドポイントは絶対パスの`media_path`パラメータを安全なディレクトリに制限せずに受け入れていました。これらの問題が組み合わさることで、同じユーザー権限で動作する任意のローカルプロセスがペアリングされたアカウントからのWhatsAppメッセージ送信を無許可で行えたほか、同じ呼び出し元がユーザーが読み取り可能な任意のファイル（例：SSH秘密鍵、ブラウザのセッションデータ、ソースコード、ドットファイル）を読み取り、それらをWhatsAppのドキュメント添付ファイルとして外部に持ち出すことが可能でした。また、Hostヘッダー検証が行われないため、リモート攻撃者がユーザーが訪問するウェブページからDNSリバインディング経由で同じ操作を引き起こすことも可能です。MCP環境では「ローカル呼び出し元」はユーザーが明示的に起動したプロセスに限らず、兄弟MCPサーバー、IDE拡張機能、ツールによるユーザーセッション内のフローも実質的な呼び出し元として機能し得ます。この問題はwhatsapp-mcp v0.2.1および対応するDockerイメージ／リリースアーティファクトで修正されています。ユーザーは直ちにアップグレードすべきです。修正内容としては、ブリッジHTTP APIに対するベアラートークン認証の導入（環境変数で設定し、すべてのリクエストで必須、定数時間比較で検証）、DNSリバインディング防止のためのHostヘッダー許可リスト検証、ならびに`media_path`を設定されたディレクトリに制限し、そのルート外の絶対パスやパストラバーサルシーケンスを拒否する仕様変更が含まれます。これはブリッジAPIのクライアントにとって互換性のない変更です。直ちにアップグレードできないユーザーは、ブリッジが非使用時に停止するか、ループバックのポート8080へのアクセスをブロックし、信頼できないMCPサーバーやブラウザ拡張、その他のローカルプロセスとブリッジを共存させないこと、ブリッジ稼働中は信頼できないサイトを閲覧しないこと（DNSリバインディング対策）およびセンシティブなファイルにアクセスできない専用ユーザーアカウントやサンドボックス／コンテナでブリッジを実行することが推奨されます。

Very Good Plugins

• WhatsApp MCP Server 0.2.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unauthenticated bridge API allows message sending and arbitrary file exfiltration  Advisory  verygoodplugins/whatsapp-mcp  GitHub

1. パス・トラバーサル(CWE-22) [その他]
2. 重要な機能に対する認証の欠如(CWE-306) [その他]
3. 同一生成元ポリシー違反(CWE-346) [その他]

1. CVE-2026-46555

1. National Vulnerability Database (NVD) : CVE-2026-46555
2. 関連文書 : Release v0.2.1  verygoodplugins/whatsapp-mcp  GitHub
3. 関連文書 : whatsapp-mcp/SECURITY.md at main  verygoodplugins/whatsapp-mcp  GitHub

• [2026年08月20日]
    掲載