Apa yang terjadi
GitHub Security Advisory (CVE-2026-46555, CVSS 7.7) yang dipublikasikan 2026-07-20 merinci bagaimana jembatan HTTP lokal WhatsApp MCP Server — digunakan untuk membiarkan Claude membaca/mengirim pesan WhatsApp — tidak memiliki autentikasi, memungkinkan proses kolokasi apa pun atau penyerang jarak jauh (melalui DNS rebinding) untuk membajak akun WhatsApp yang dipasangkan dan mengeksfiltrasikan file lokal arbitrer.
Mengapa penting
Ini mengilustrasikan pola kegagalan ekosistem MCP yang berulang: server jembatan lokal 'terpercaya secara default' yang memberikan agent AI akses ke layanan pribadi sensitif (messaging, file) tanpa autentikasi, di mana model ancaman MCP dari 'panggil lokal apa pun' sekarang mencakup server MCP lain dan ekstensi IDE yang berbagi sesi pengguna — mengubah integrasi kenyamanan menjadi jalur untuk ekstraksi kredensial/file dan pengambilalihan akun.
Vektor serangan
API HTTP whatsapp-bridge mendengarkan di 127.0.0.1:8080 tanpa autentikasi atau validasi header Host, dan endpoint /api/send-nya menerima media_path absolut tanpa pengekangan direktori. Proses lokal apa pun yang berjalan dengan pengguna yang sama (termasuk server MCP sibling, ekstensi IDE, atau alur pemicu agent lain) dapat mengirim pesan WhatsApp dari akun yang dipasangkan atau mengeksfiltrasikan file pengguna arbitrer (kunci SSH, data sesi browser, kode sumber) sebagai lampiran WhatsApp; kurangnya validasi header Host juga memungkinkan serangan DNS-rebinding dari halaman web berbahaya.
Sistem yang terdampak
WhatsApp MCP Server (whatsapp-mcp), versi sebelum 0.2.1
Mitigasi
Tingkatkan ke whatsapp-mcp v0.2.1, yang menambahkan autentikasi bearer-token, allow-listing header Host, dan pengekangan direktori media_path. Pengguna yang tidak dapat meningkatkan harus menghentikan jembatan ketika tidak digunakan, memblokir port loopback 8080, dan menghindari menjalankan server MCP yang tidak dipercaya/menjelajahi situs yang tidak dipercaya saat jembatan aktif.