WhatsApp剛剛修復(fù)了其桌面應(yīng)用程序中的另一個(gè)危險(xiǎn)漏洞

據(jù)PerimeterX研究人員的一份報(bào)告，F(xiàn)ace book擁有的即時(shí)通訊應(yīng)用程序已經(jīng)被一種新的bug感染。

已經(jīng)發(fā)現(xiàn)的漏洞使黑客能夠遠(yuǎn)程訪問計(jì)算機(jī)或Mac計(jì)算機(jī)上的文件。上述漏洞被認(rèn)為是整合了WhatsApp桌面應(yīng)用程序中的幾個(gè)缺陷，甚至是WhatsAppWe b客戶端的一部分，該客戶端在GoogleChrome和Safari等Web瀏覽器上工作。根據(jù)該報(bào)告，漏洞在于WhatsApp（CSP），它可以被利用來使用交叉腳本（XSS）發(fā)送被操縱的消息和鏈接。研究人員能夠調(diào)整url并發(fā)送一個(gè)惡意鏈接，而不是合法鏈接，包括合法的查找橫幅?！熬哂胸S富預(yù)覽橫幅的消息是包含帶有關(guān)于消息正文中的鏈接的額外信息的橫幅的消息。在WhatsApp上，橫幅正在發(fā)送方的一側(cè)生成，這是一個(gè)需要理解的重要問題。在將橫幅屬性發(fā)送到接收方之前，可以很容易地篡改它。這是解決麻煩的良方，”研究員說。解釋他是如何制造惡意鏈接的，他寫道：“我做的第一件事是制作一條信息，其中包括一個(gè)合法的橫幅，但將重定向到另一個(gè)領(lǐng)域，而不是簡(jiǎn)單地替換鏈接?！备鶕?jù)他的發(fā)現(xiàn)，這種修補(bǔ)工作在WhatsApp上為iOS、Android、Windows桌面、MacDesktop甚至WhatsAppWeb工作。如前所述，已經(jīng)解決了這一被歸類為高風(fēng)險(xiǎn)的問題。漏洞數(shù)據(jù)（NVD）中提供的WhatsApp漏洞解釋了這一漏洞，“在0.3.9309之前的WhatsApp桌面版本中的一個(gè)漏洞，當(dāng)與2.20.10之前的iPhone版本的WhatsApp配對(duì)時(shí)，允許跨站點(diǎn)腳本和本地文件讀取。利用漏洞需要受害者從一條特別制作的短信中點(diǎn)擊鏈接預(yù)覽?！?/p>