CVE-2026-6979: Server-Side Request Forgery en Devlikeapro WAHA (v2026.3.4)

Vulnerabilidad crítica descrita como CVE-2026-6979 en el proyecto Devlikeapro wahtest. El ataque de tipo SRF permite acceso remoto al servidor mediante manipulación del contenido del enlace de navegación.

Descripción de la Vulnerabilidad

En el componente src/api/media.controller.ts, existe un defecto en una función no documentada que permite a atacantes realizar ataques de SRF. El código permite que usuarios maliciosos inicien sesiones o accedan al backend mediante enlaces falsos.

Sistemas Afectados

Desarrollador: Devlikeapro - Proyecto wahtest
Componentes comprometidos:

Componente	src/api/media.controller.ts
Función Vulnerable	Funciones de navegación que no validan origen del enlace
Versión Afectada	v2026.3.4 o anterior (no se especifica versión exacta)

Impacto y Explotabilidad

CRÍTICO: Permite acceso remoto al servidor del sistema operativo.

Factor de Vulnerabilidad	CVSS: 6.3 (MEDIUM)
Tipo de Vulnerabilidad	SERVIDOR-SIDE REQUEST FORGERY (SRF)
Procedimiento de Exploitación Aprovechar enlace de navegación que no verifica origen (http://attacker.com/steal.php?target=server) Iniciar sesión en la plataforma web del atacante con credenciales validadas Obtener acceso al servidor local y ejecutar código malicioso

Consecuencias: Acceso completo al servidor, ejecución de malware, recuperación de datos críticos.

Indicadores de Compromiso (IOCs)

No hay indicadores públicos disponibles para este CVE específico.

Tipo de IOC	Recomendación: Implementar validación de origen en enlaces de navegación

Mitigación y Parches

PUNTO DE ATENCIÓN: Este CVE es muy reciente (publificado el 2026-04-25). No existe versión corregida disponible.

Recomendación Urgente:

Actualizar inmediatamente a la última versión estable del proyecto para aplicar correcciones de seguridad.

Principales medidas de mitigación:

• Navegación segura: Implementar validación estricta del origen en enlaces de navegación (protocolo HTTPS y dominio conocido).
• Sinergia con OWASP SAST: Usar herramientas como SonarQube o GitLab Security para detectar defectos de código relacionados.
• Fundamentos de seguridad: Aplicar principios de diseño seguro como Input Validation y Defense in Depth en componentes críticos.

Referencias Adicionales

Para información adicional sobre la vulnerabilidad, consulte los siguientes recursos oficiales:

CVE-2026-6979 en NVD	NIST CVE Database - CVE-2026-6979
OpenAPI Specification (opcional)	NIST CVE Database - CVE-2026-6979

Para información técnica sobre la vulnerabilidad, consulte:

Vulnerability Disclosure	NIST CVE Database - CVE-2026-6979
CVE Information	NIST CVE Database - CVE-2026-6979

Para información técnica sobre la vulnerabilidad, consulte:

Vulnerability Disclosure	NIST CVE Database - CVE-2026-6979
CVE Information	NIST CVE Database - CVE-2026-6979