Viber Desktop — HTML-инъекция (CVE-2025-55996)

CVE: CVE-2025-55996
Исследователь: Thaw Khant (Cycbake)
Продукт: Viber Desktop
Затронуто: Viber Desktop 25.6.0 (и, возможно, более ранние версии)

Сводка

Обработчик deep-link в Viber Desktop (viber://forward?text=) может отображать несанитизированный HTML, переданный в параметре text, внутри интерфейса создания/пересылки сообщения. Хотя выполнение скриптов, судя по всему, ограничено клиентом, подконтрольные атакующему внешние ресурсы (например, изображения) могут загружаться, что позволяет отслеживать пользователя и манипулировать интерфейсом, способствуя фишингу и утечке конфиденциальных данных.

Воздействие

• Удалённая загрузка изображений/ресурсов с доменов, подконтрольных атакующему (утечка IP/метаданных).
• Манипуляция интерфейсом сообщений (вводящий в заблуждение текст/графика), позволяющая проводить социальную инженерию.
• Возможно объединение с другими уязвимостями для большего воздействия.

Воспроизведение (сокращено)

Шаги воспроизведения намеренно сокращены в этом публичном отчёте, чтобы избежать массовой эксплуатации. Минимальный пример воспроизведения был предоставлен вендору и в MITRE на момент сообщения.

Смягчение / Рекомендуемое исправление

• Обрабатывать параметр text как обычный текст; не отображать HTML по умолчанию.
• Надлежащим образом экранировать/кодировать вводимые пользователем данные перед отображением в клиенте.
• Блокировать или проксировать загрузку внешних ресурсов в пересылаемых сообщениях (удалять запросы к удалённым ресурсам или принудительно пропускать их через санитизирующий прокси).

Примечания

Этот публичный отчёт намеренно опускает детали уровня эксплойта. Если вы являетесь вендором или контактным лицом по безопасности и вам требуются технические детали для устранения уязвимости, пожалуйста, свяжитесь с исследователем по указанному выше адресу.