Aktywnie wykorzystywana w atakach
Meta Platforms WhatsApp Incorrect Authorization Vulnerability
Meta Platforms - WhatsApp · Figuruje w katalogu CISA KEV od 2025-09-02. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-55177
ŚrednieCVSS 5.4KEVStreszczenie
Niekompletna autoryzacja komunikatów synchronizacji połączonych urządzeń w WhatsApp dla iOS przed wersją 2.25.21.73, WhatsApp Business dla iOS 2.25.21.78 i WhatsApp dla Mac 2.25.21.78 mogła pozwolić niepowiązanemu użytkownikowi na wywołanie przetwarzania treści z dowolnego adresu URL na urządzeniu ofiary. Podatność ta, w połączeniu z podatnością na poziomie systemu operacyjnego Apple (CVE-2025-43300), mogła być wykorzystana w wyrafinowanym ataku na konkretnych użytkowników.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wywołania przetwarzania złośliwych treści na urządzeniu ofiary, co może prowadzić do naruszenia prywatności lub dalszej kompromitacji.
Rekomendacja
Zaleca się aktualizację WhatsApp do najnowszych wersji oraz monitorowanie komunikatów bezpieczeństwa od WhatsApp i Apple.
Inne podatności w WhatsApp
Oryginalny opis (angielski, źródło NVD)
Incomplete authorization of linked device synchronization messages in WhatsApp for iOS prior to v2.25.21.73, WhatsApp Business for iOS v2.25.21.78, and WhatsApp for Mac v2.25.21.78 could have allowed an unrelated user to trigger processing of content from an arbitrary URL on a target’s device. We assess that this vulnerability, in combination with an OS-level vulnerability on Apple platforms (CVE-2025-43300), may have been exploited in a sophisticated attack against specific targeted users.