CVE-2025-55179
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Niekompletna walidacja wiadomości z bogatą treścią w WhatsApp for iOS przed v2.25.23.73, WhatsApp Business for iOS v2.25.23.82 oraz WhatsApp for Mac v2.25.23.83 mogła pozwolić użytkownikowi na wywołanie przetwarzania treści multimedialnych z dowolnego URL na urządzeniu innego użytkownika. Nie zaobserwowano dowodów wykorzystania w środowisku rzeczywistym.
Ocena ryzyka
Atakujący może spowodować, że urządzenie innego użytkownika pobierze i przetworzy treści multimedialne z dowolnego URL, co może prowadzić do ujawnienia informacji o sieci lub adresie IP ofiary. Brak dowodów na aktywne wykorzystanie, ale ryzyko istnieje.
Rekomendacja
Zaktualizuj WhatsApp for iOS do wersji v2.25.23.73 lub nowszej, WhatsApp Business for iOS do v2.25.23.82 lub nowszej oraz WhatsApp for Mac do v2.25.23.83 lub nowszej. Poinformuj użytkowników o konieczności aktualizacji.
Inne podatności w WhatsApp
Zobacz wszystkie- CVE-2025-55177ŚrednieAktywnie exploitowane
Niekompletna autoryzacja komunikatów synchronizacji połączonych urządzeń w WhatsApp dla iOS przed wersją 2.25.21.73, WhatsApp Business dla iOS 2.25.21.78 i WhatsApp dla Mac 2.25.21.78 mogła pozwolić niepowiązanemu użytkownikowi na wywołanie przetwarzania treści z dowolnego adresu URL na urządzeniu ofiary. Podatność ta, w połączeniu z podatnością na poziomie systemu operacyjnego Apple (CVE-2025-43300), mogła być wykorzystana w wyrafinowanym ataku na konkretnych użytkowników.
- CVE-2019-3568KrytyczneAktywnie exploitowane
Podatność przepełnienia bufora w stosie VoIP WhatsApp pozwala na zdalne wykonanie kodu poprzez wysłanie specjalnie spreparowanej serii pakietów RTCP na numer telefonu ofiary.
Oryginalny opis (angielski, źródło NVD)
Incomplete validation of rich response messages in WhatsApp for iOS prior to v2.25.23.73, WhatsApp Business for iOS v2.25.23.82, and WhatsApp for Mac v2.25.23.83 could have allowed a user to trigger processing of media content from an arbitrary URL on another user’s device. We have not seen evidence of exploitation in the wild.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS