ورود / ثبت‌نام

جزئیات آسیب‌پذیری

CVE-2026-48063

WhiskeySockets @whiskeysockets/baileysWhiskeySockets Baileys

Baileys has message upsert / hist sync spoofing and app state corruption when using maliciously crafted protocolMessage payload

CVSS 4.0
9.3بحرانی

شرح رسمی (انگلیسی)

Baileys is a cocket-based TS/JavaScript API for WhatsApp Web. In versions prior to both 6.7.22 and 7.0.0-rc12, any Baileys session can be sent a malicious payload via the placeholderResendMessage and trigger a fake messages.upsert event with a fake message key and payload. This allows anyone to spoof messages. The same exploit also allows an attacker to corrupt the app state sync system by sending fake key shares, and also allows for history sync spoofing which also serves the same problem, injecting fake previous context or "on-demand" sync. This issue has been fixed in versions 6.7.22 and 7.0.0-rc12.

امتیازهای CVSS

امتیازنسخهمنبعبردار
9.3بحرانی 4.0 CVEProject cvelistV5 (CNA) (GitHub_M) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
WhiskeySockets @whiskeysockets/baileys < 6.7.22 CVEProject cvelistV5 (CNA)
WhiskeySockets @whiskeysockets/baileys >= 7.0.0-rc.1, < 7.0.0-rc12 CVEProject cvelistV5 (CNA)
WhiskeySockets Baileys < 6.7.22 CVEProject cvelistV5 (CNA)
WhiskeySockets Baileys >= 7.0.0-rc.1, < 7.0.0-rc12 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۲
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار
۱۴۰۵/۰۵/۱۳
آخرین به‌روزرسانی
۱۴۰۵/۰۵/۱۳
وضعیت
منتشرشده
صادرکننده (CNA)
GitHub_M

پیش‌بینی بهره‌برداری (EPSS)

۰٫۲۲٪
احتمال بهره‌برداری در ۳۰ روز
۱۲٫۹٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی
بله
وضعیت بهره‌برداری
ندارد
اثر فنی
جزئی

ضعف‌ها (CWE)

  • CWE-290
    Authentication Bypass by Spoofing
  • CWE-345
    Insufficient Verification of Data Authenticity
  • CWE-346
    Origin Validation Error