免费扫描
分析待定CVE-2026-23863

CVE-2026-23863: Attachment Spoofing in WhatsApp Desktop

平台

android

组件

whatsapp

修复版本

2.3000.1032164386.258709

在NVD查看
保存

CVE-2026-23863 describes an attachment spoofing vulnerability affecting WhatsApp Desktop for Windows. This flaw allows attackers to craft documents with embedded NUL bytes in the filename, tricking the application into displaying them as a different file type while still executing malicious code when opened. The vulnerability impacts versions 2.3000.0.0 through 2.3000.1032164386.258709, and a patch is available in version 2.3000.1032164386.258709.

Android / Gradle

检测此 CVE 是否影响你的项目

上传你的 build.gradle 文件，立即知道是否受影响。

上传 build.gradle

影响与攻击场景

在WhatsApp Desktop for Windows的2.3000.1032164386.258709之前的版本中，发现了一种文件欺骗漏洞。该漏洞允许攻击者创建包含嵌入式NULL字节的恶意文档。当这些文件通过WhatsApp接收并打开时，应用程序可能会显示不正确的文档类型（例如，文本文档），而实际上该文件将作为可执行文件运行。这可能允许攻击者在用户不知情的情况下在用户的设备上执行恶意代码。虽然目前尚未发现该漏洞被利用的证据，但远程代码执行的可能性构成重大安全风险。

利用背景

攻击需要用户通过WhatsApp打开恶意附件。攻击者需要创建包含NULL字节的文件名，这可以使用文本编辑器或脚本完成。此漏洞在于WhatsApp Desktop处理文件名的方式。缺乏适当的文件名验证允许文件以具有误导性的外观运行。虽然目前没有发现任何主动利用，但创建恶意文件的相对容易性使此漏洞成为一个问题。

威胁情报

漏洞利用状态

概念验证未知
CISA KEVNO
互联网暴露高

EPSS

0.01% (1% 百分位)

CVSS 向量

威胁情报· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N/E:F/RL:O/RC:C6.5MEDIUMAttack VectorNetwork攻击者如何到达目标Attack ComplexityLow利用漏洞所需的条件Privileges RequiredNone攻击所需的认证级别User InteractionRequired是否需要受害者采取行动ScopeUnchanged超出受影响组件的影响范围ConfidentialityNone敏感数据泄露风险IntegrityHigh数据未授权篡改风险AvailabilityNone服务中断风险nextguardhq.com · CVSS v3.1 基础分数
这些指标意味着什么？
Attack Vector
网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
Attack Complexity
低 — 无需特殊条件，可以稳定地利用漏洞。
Privileges Required
无 — 无需认证，无需凭证即可利用。
User Interaction
需要 — 受害者必须打开文件、点击链接或访问特制页面。
Scope
未改变 — 影响仅限于脆弱组件本身。
Confidentiality
无 — 无机密性影响。
Integrity
高 — 攻击者可写入、修改或删除任何数据。
Availability
无 — 无可用性影响。

受影响的软件

组件whatsapp
供应商Facebook
最低版本2.3000.0.0
最高版本2.3000.1032164386.258709
修复版本2.3000.1032164386.258709

弱点分类 (CWE)

CWE-158

时间线

  1. 发布日期
  2. EPSS 更新日期

缓解措施和替代方案

为了防止此漏洞，强烈建议将WhatsApp Desktop for Windows更新到最新版本（2.3000.1032164386.258709或更高版本）。WhatsApp已发布更新以解决此问题。此外，用户应谨慎打开来自未知或可疑来源的附件，即使它们看起来无害。保持操作系统和防病毒软件更新也有助于降低风险。更新是消除此漏洞的最有效解决方案。

修复方法翻译中…

Actualice WhatsApp Desktop para Windows a la versión 2.3000.1032164386.258709 o superior para mitigar el riesgo de spoofing de archivos.  Esta actualización corrige la forma en que la aplicación maneja los nombres de archivo, evitando que archivos maliciosos se ejecuten bajo una falsa identidad.  Descargue la última versión desde el sitio web oficial de WhatsApp.

常见问题

CVE-2026-23863 是什么 — WhatsApp Desktop for Windows 中的漏洞？

打开WhatsApp Desktop，然后转到“帮助”>“关于”。WhatsApp将自动搜索并安装可用更新。

WhatsApp Desktop for Windows 中的 CVE-2026-23863 是否会影响我？

NULL字节（表示为\0）是通常用于指示文本字符串末尾的特殊字符。在此情况下，它们用于文件名来欺骗WhatsApp。

如何修复 WhatsApp Desktop for Windows 中的 CVE-2026-23863？

通常是安全的，但要谨慎对待来自未知或可疑来源的附件。在打开附件之前，请务必验证来源。

CVE-2026-23863 是否正在被积极利用？

断开设备的互联网连接，使用防病毒软件进行全面扫描，并考虑寻求专业的网络安全协助。

在哪里可以找到 WhatsApp Desktop for Windows 关于 CVE-2026-23863 的官方安全通告？

不，此漏洞仅影响WhatsApp Desktop for Windows。

你的项目受影响吗?

上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。

免费扫描搜索 CVE
Android / Gradle

检测此 CVE 是否影响你的项目

上传你的 build.gradle 文件，立即知道是否受影响。

上传 build.gradle
live免费扫描

立即扫描您的Android / Gradle项目 — 无需账户

Upload your build.gradle and get the vulnerability report instantly. No account. Uploading the file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.

手动扫描Slack/邮件提醒持续监控白标报告

拖放您的依赖文件

composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...