Viber Desktop — حقن HTML (CVE-2025-55996)

CVE: CVE-2025-55996
المكتشف: Thaw Khant (Cycbake)
المنتج: Viber Desktop
المتأثر: Viber Desktop 25.6.0 (وربما الإصدارات الأقدم)

الملخص

يمكن لمعالج الروابط العميقة في Viber Desktop (viber://forward?text=) عرض HTML غير منقّى مقدم عبر معامل text داخل واجهة إنشاء/إعادة توجيه الرسائل. وبينما يبدو تنفيذ البرامج النصية مقيدًا من جانب العميل، يمكن تحميل موارد خارجية يتحكم بها المهاجم (مثل الصور)، مما يتيح تتبع المستخدم والتلاعب بواجهة المستخدم، وهو ما قد يسهل التصيد الاحتيالي وتسريب الخصوصية.

التأثير

• تحميل صور/موارد عن بُعد من نطاقات يتحكم بها المهاجم (تسريب عنوان IP/البيانات الوصفية).
• التلاعب بواجهة رسائل المستخدم (نصوص/رسومات مضللة) بما يتيح الهندسة الاجتماعية.
• يمكن دمجها مع ثغرات أخرى لتحقيق تأثير أكبر.

إعادة الإنتاج (التفاصيل محذوفة)

تم حذف خطوات إعادة الإنتاج عمدًا من هذا المنشور العام لتجنب الاستغلال الواسع النطاق. تم تقديم نموذج إعادة إنتاج مصغّر إلى البائع وMITRE في وقت الإبلاغ.

التخفيف / الإصلاح الموصى به

• تعامل مع معامل text كنص عادي؛ لا تعرض HTML افتراضيًا.
• قم بتهريب وترميز مدخلات المستخدم بشكل صحيح قبل عرضها في العميل.
• امنع أو وسّط تحميل الموارد الخارجية في الرسائل المعاد توجيهها (قم بإزالة طلبات الموارد البعيدة أو أجبرها على المرور عبر وكيل تعقيم).

ملاحظات

يحذف هذا المنشور العام عمدًا التفاصيل المتعلقة بمستوى الاستغلال. إذا كنت بائعًا أو جهة اتصال أمنية وتحتاج إلى تفاصيل تقنية للمعالجة، فيرجى الاتصال بالمكتشف على العنوان أعلاه.