注目★★★★★GitHub Advisory
Baileys CVE-2026-48063：メッセージなりすましとアプリ状態破壊の脆弱性
30秒で把握
- 1Baileys v7.0.0-rc12 未満・v6.7.22 未満に偽メッセージ注入の脆弱性
- 2攻撃で messages.upsert 偽イベント発生・履歴同期なりすまし・アプリ状態破壊が可能
- 3v7.0.0-rc12 / v6.7.22 で修正済み・アプリ状態破壊の回避策なし
要約
WhatsApp 非公式ライブラリ Baileys に、細工した protocolMessage ペイロードを送信することでメッセージのなりすましとアプリ状態の破壊が可能な脆弱性 CVE-2026-48063 が確認された。攻撃者は `placeholderResendMessage` を悪用して偽の `messages.upsert` イベントを発生させ、偽メッセージキーの注入・履歴同期のなりすまし・アプリ状態同期の破壊を実行できる。v7.0.0-rc12 および v6 系向けの v6.7.22 で修正済みであり、それ以前のバージョンはすべて影響を受ける。アプリ状態同期の破壊に対する完全な回避策は存在せず、アップグレードが唯一の対処法となる。
あなたへの影響
Baileys を利用した WhatsApp ボットや自動化ツールを運用しているチームは、直ちに v7.0.0-rc12 または v6.7.22 へのアップグレードを実施すること。
推奨：アップグレードが即時困難な場合は暫定措置として `requestId` フィールドを含む `messages.upsert` イベントの破棄と履歴同期の無効化（`shouldSyncHistoryMessage: () => false`）を適用できるが、アプリ状態同期の破壊は回避策がないため早急な対応が必要。