Viber Desktop — HTML इंजेक्शन (CVE-2025-55996)

CVE: CVE-2025-55996
खोजकर्ता: Thaw Khant (Cycbake)
उत्पाद: Viber Desktop
प्रभावित: Viber Desktop 25.6.0 (और संभवतः पूर्व संस्करण)

सारांश

Viber Desktop का डीप-लिंक हैंडलर (viber://forward?text=) मैसेज कंपोज़/फ़ॉरवर्ड इंटरफ़ेस के अंदर text पैरामीटर में प्रदान किए गए अस्वच्छित HTML को रेंडर कर सकता है। हालांकि क्लाइंट द्वारा स्क्रिप्ट निष्पादन प्रतिबंधित प्रतीत होता है, हमलावर-नियंत्रित बाहरी संसाधन (जैसे, चित्र) लोड किए जा सकते हैं, जो उपयोगकर्ता ट्रैकिंग और UI हेरफेर को सक्षम करते हैं, जो फ़िशिंग और गोपनीयता लीक की सुविधा प्रदान कर सकता है।

प्रभाव

• हमलावर-नियंत्रित डोमेन से दूरस्थ छवि/संसाधन लोडिंग (IP/मेटा लीकेज)।
• संदेश UI हेरफेर (भ्रामक पाठ/ग्राफिक्स) जो सोशल इंजीनियरिंग को सक्षम करता है।
• अधिक प्रभाव के लिए अन्य मुद्दों के साथ जोड़ा जा सकता है।

प्रजनन (संशोधित)

प्रजनन चरणों को जन-शोषण से बचने के लिए इस सार्वजनिक लेख से जानबूझकर हटा दिया गया है। रिपोर्टिंग के समय विक्रेता और MITRE को एक न्यूनतम प्रजनन प्रदान किया गया था।

शमन / अनुशंसित सुधार