原文

WhatsApp MCPサーバーは、WhatsApp向けのモデルコンテキストプロトコル（MCP）サーバーであり、ClaudeがWhatsAppメッセージを読み書きできるようにします。バージョン0.2.1以前では、`whatsapp-bridge`のHTTP APIが認証なしかつHostヘッダーの検証なしで`127.0.0.1:8080`で待ち受けており、`/api/send`エンドポイントは絶対パスの`media_path`パラメータを安全なディレクトリに制限せずに受け入れていました。これらの問題が組み合わさることで、同じユーザー権限で動作する任意のローカルプロセスがペアリングされたアカウントからのWhatsAppメッセージ送信を無許可で行えたほか、同じ呼び出し元がユーザーが読み取り可能な任意のファイル（例：SSH秘密鍵、ブラウザのセッションデータ、ソースコード、ドットファイル）を読み取り、それらをWhatsAppのドキュメント添付ファイルとして外部に持ち出すことが可能でした。また、Hostヘッダー検証が行われないため、リモート攻撃者がユーザーが訪問するウェブページからDNSリバインディング経由で同じ操作を引き起こすことも可能です。MCP環境では「ローカル呼び出し元」はユーザーが明示的に起動したプロセスに限らず、兄弟MCPサーバー、IDE拡張機能、ツールによるユーザーセッション内のフローも実質的な呼び出し元として機能し得ます。この問題はwhatsapp-mcp v0.2.1および対応するDockerイメージ／リリースアーティファクトで修正されています。ユーザーは直ちにアップグレードすべきです。修正内容としては、ブリッジHTTP APIに対するベアラートークン認証の導入（環境変数で設定し、すべてのリクエストで必須、定数時間比較で検証）、DNSリバインディング防止のためのHostヘッダー許可リスト検証、ならびに`media_path`を設定されたディレクトリに制限し、そのルート外の絶対パスやパストラバーサルシーケンスを拒否する仕様変更が含まれます。これはブリッジAPIのクライアントにとって互換性のない変更です。直ちにアップグレードできないユーザーは、ブリッジが非使用時に停止するか、ループバックのポート8080へのアクセスをブロックし、信頼できないMCPサーバーやブラウザ拡張、その他のローカルプロセスとブリッジを共存させないこと、ブリッジ稼働中は信頼できないサイトを閲覧しないこと（DNSリバインディング対策）およびセンシティブなファイルにアクセスできない専用ユーザーアカウントやサンドボックス／コンテナでブリッジを実行することが推奨されます。