CVE-2025-55177mediumbajo ataqueCWE-863

CVE-2025-55177: fallo de gravedad media en Facebook WhatsApp for iOS

Publicada el · Actualizada el

63Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 5.4epss 4.7%
de la publicación al arma238 días
Publicada en NVD29 ago
1ª PoC+238d
CISA KEV+4d
probabilidad de explotación
4.7%top 8% de las CVE
explotación observada
síCISA + VulnCheck
2 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2025-09-23

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

WhatsApp para iOS y Mac tenía un defecto donde mensajes de sincronización no verificados podían engañar a un dispositivo para procesar contenido desde cualquier sitio web controlado por un atacante. Esto podría explotarse junto con otras vulnerabilidades del sistema Apple para atacar a usuarios específicos.

Detalle técnico

La vulnerabilidad resulta de verificaciones de autorización incompletas en mensajes de sincronización de dispositivos vinculados, permitiendo que un atacante no autenticado inyecte URLs arbitrarias para procesamiento en el dispositivo objetivo. La explotación requiere combinar este defecto con CVE-2025-43300 (vulnerabilidad a nivel de SO en plataformas Apple) para lograr impacto en ataques dirigidos; el vector de ataque es basado en red a través de mensajes de sincronización maliciosos.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Incomplete authorization of linked device synchronization messages in WhatsApp for iOS prior to v2.25.21.73, WhatsApp Business for iOS v2.25.21.78, and WhatsApp for Mac v2.25.21.78 could have allowed an unrelated user to trigger processing of content from an arbitrary URL on a target’s device. We assess that this vulnerability, in combination with an OS-level vulnerability on Apple platforms (CVE-2025-43300), may have been exploited in a sophisticated attack against specific targeted users.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N/E:F/RL:O/RC:C
Productos afectados
Facebook · WhatsApp Business for iOSFacebook · WhatsApp Desktop for MacFacebook · WhatsApp for iOS
PoCs públicas encontradas — 2
githubgithub.com/danielw98/zero-click-exploit-analysis★ 2vulncheckvulncheck.com/xdb/347d8d0fd11cno verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Facebook WhatsApp for iOS

En el mismo producto, de las más peligrosas a las menos.

CVE-2019-3568CRITICALCVE-2019-3568EPSS 30.1%KEVCVE-2020-1909—CVE-2020-1909EPSS 2.3%CVE-2018-20655—CVE-2018-20655EPSS 2.2%CVE-2018-6344HIGHCVE-2018-6344EPSS 1.9%CVE-2020-1907—CVE-2020-1907EPSS 1.9%CVE-2018-6350—CVE-2018-6350EPSS 1.7%
Referencias
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-55177https://www.facebook.com/security/advisories/cve-2025-55177https://www.whatsapp.com/security/advisories/2025/