Viber Desktop — HTML インジェクション (CVE-2025-55996)

CVE: CVE-2025-55996
発見者: Thaw Khant (Cycbake)
製品: Viber Desktop
影響を受けるバージョン: Viber Desktop 25.6.0 (およびそれ以前の可能性あり)

概要

Viber Desktop のディープリンクハンドラー (viber://forward?text=) は、メッセージ作成/転送インターフェース内で text パラメーターに指定された未サニタイズの HTML をレンダリングできます。クライアントによってスクリプト実行は制限されているようですが、攻撃者が制御する外部リソース（例: 画像）を読み込むことができるため、ユーザーの追跡や UI の操作が可能になり、フィッシングやプライバシー漏えいを助長する可能性があります。

影響

• 攻撃者が制御するドメインからのリモート画像/リソースの読み込み（IP/メタデータの漏えい）。
• メッセージ UI の操作（誤解を招くテキスト/画像）によるソーシャルエンジニアリングの可能性。
• 他の問題と連鎖させることで、より大きな影響を与える可能性があります。

再現方法 (一部伏せ字)

再現手順は、大規模な悪用を防ぐため、この公開記事では意図的に伏せています。報告時点で、最小限の再現コードはベンダーと MITRE に提供済みです。

緩和策 / 推奨される修正

• text パラメーターをプレーンテキストとして扱い、デフォルトでは HTML をレンダリングしない。
• クライアントでレンダリングする前に、ユーザー提供の入力を適切にエスケープ/エンコードする。
• 転送メッセージ内の外部リソースの読み込みをブロックまたはプロキシ経由にする（リモートリソース要求を除去するか、サニタイジングプロキシを経由させる）。

注記

この公開記事では、エクスプロイトレベルの詳細を意図的に省略しています。修復に必要な技術的詳細が必要なベンダーまたはセキュリティ担当者は、上記の連絡先まで発見者にご連絡ください。