Viber Desktop — HTML-Injection (CVE-2025-55996)

CVE: CVE-2025-55996
Entdecker: Thaw Khant (Cycbake)
Produkt: Viber Desktop
Betroffen: Viber Desktop 25.6.0 (und möglicherweise frühere Versionen)

Zusammenfassung

Der Tiefenlink-Handler (viber://forward?text=) von Viber Desktop kann unsanitized HTML, das im Parameter text bereitgestellt wird, in der Nachrichten-Erstellungs-/Weiterleitungsschnittstelle rendern. Während die Skriptausführung durch den Client eingeschränkt zu sein scheint, können vom Angreifer kontrollierte externe Ressourcen (z. B. Bilder) geladen werden, was Benutzerverfolgung und UI-Manipulation ermöglicht, die Phishing und Datenschutzlecks erleichtern können.

Auswirkungen

• Entferntes Laden von Bildern/Ressourcen von angreiferkontrollierten Domains (IP-/Meta-Leak).
• Manipulation der Nachrichten-UI (irreführender Text/Grafiken), die Social Engineering ermöglicht.
• Kann mit anderen Problemen für größere Auswirkungen kombiniert werden.

Reproduktion (geschwärzt)

Die Reproduktionsschritte wurden absichtlich aus dieser öffentlichen Beschreibung entfernt, um Massenausnutzung zu vermeiden. Zum Zeitpunkt der Meldung wurde dem Anbieter und MITRE eine minimale Reproduktion bereitgestellt.

Minderung / Empfohlener Fix

• Behandeln Sie den Parameter text als einfachen Text; rendern Sie standardmäßig kein HTML.
• Escapen/kodieren Sie benutzereingegebene Eingaben ordnungsgemäß, bevor Sie sie im Client rendern.
• Blockieren oder proxieren Sie das Laden externer Ressourcen in weitergeleiteten Nachrichten (entfernen Sie Remote-Ressourcenanforderungen oder zwingen Sie sie, über einen bereinigenden Proxy zu laufen).

Hinweise

Diese öffentliche Beschreibung lässt absichtlich Details auf Exploit-Ebene aus. Wenn Sie ein Anbieter oder Sicherheitskontakt sind, der technische Details zur Behebung benötigt, kontaktieren Sie bitte den Entdecker unter der oben genannten Adresse.