CVE-2026-23866
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W WhatsApp for iOS (wersje 2.25.8.0 do 2.26.15.72) oraz WhatsApp for Android (wersje 2.25.8.0 do 2.26.7.10) występuje niepełna walidacja wiadomości AI rich response dla Instagram Reels. Może to pozwolić użytkownikowi na wywołanie przetwarzania treści multimedialnych z dowolnego URL na urządzeniu innego użytkownika, w tym uruchomienie systemowych procedur obsługi niestandardowych schematów URL.
Ocena ryzyka
Atakujący może wymusić na ofierze przetwarzanie treści z dowolnego adresu URL, co może prowadzić do nieoczekiwanych działań w aplikacji lub uruchomienia zewnętrznych handlerów. Brak doniesień o wykorzystaniu w praktyce.
Rekomendacja
Zaktualizować aplikację WhatsApp do najnowszej wersji dostępnej w App Store lub Google Play.
Inne podatności w WhatsApp
Zobacz wszystkie- CVE-2025-55177ŚrednieAktywnie exploitowane
Niekompletna autoryzacja komunikatów synchronizacji połączonych urządzeń w WhatsApp dla iOS przed wersją 2.25.21.73, WhatsApp Business dla iOS 2.25.21.78 i WhatsApp dla Mac 2.25.21.78 mogła pozwolić niepowiązanemu użytkownikowi na wywołanie przetwarzania treści z dowolnego adresu URL na urządzeniu ofiary. Podatność ta, w połączeniu z podatnością na poziomie systemu operacyjnego Apple (CVE-2025-43300), mogła być wykorzystana w wyrafinowanym ataku na konkretnych użytkowników.
- CVE-2019-3568KrytyczneAktywnie exploitowane
Podatność przepełnienia bufora w stosie VoIP WhatsApp pozwala na zdalne wykonanie kodu poprzez wysłanie specjalnie spreparowanej serii pakietów RTCP na numer telefonu ofiary.
- CVE-2025-55179Średnie
Niekompletna walidacja wiadomości z bogatą treścią w WhatsApp for iOS przed v2.25.23.73, WhatsApp Business for iOS v2.25.23.82 oraz WhatsApp for Mac v2.25.23.83 mogła pozwolić użytkownikowi na wywołanie przetwarzania treści multimedialnych z dowolnego URL na urządzeniu innego użytkownika. Nie zaobserwowano dowodów wykorzystania w środowisku rzeczywistym.
Oryginalny opis (angielski, źródło NVD)
Incomplete validation of AI rich response messages for Instagram Reels in WhatsApp for iOS v2.25.8.0 to v2.26.15.72 and WhatsApp for Android v2.25.8.0 to v2.26.7.10 could have allowed a user to trigger processing of media content from an arbitrary URL on another user’s device, including triggering OS-controlled custom URL scheme handlers. We have not seen evidence of exploitation in the wild.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS