WhatsApp桌面应用程序缺陷允许远程访问文件

Face针对WhatsApp桌面应用的一项重大安全隐患发布了安全咨询报告。这项缺陷可能会被攻击者利用，实施跨站点脚本攻击，并通过特制短信在MacOS或Windows PC上读取文件。这一漏洞的存在，使得攻击者能够在未经用户许可的情况下，在WhatsApp消息的传递过程中，获取电脑上的文件内容，甚至可能进行其他非法行为。

该漏洞是由知名研究员Gal Weizman在perimerx x中发现，其根源在于WhatsApp桌面应用使用电子软件框架实现的方式。电子框架允许开发者使用Web和浏览器技术创建跨平台应用程序，但同时也带来了安全风险。正如Weizman在2017年首次发现的跨站脚本漏洞一样，这次他发现可以通过注入JavaScript代码到WhatsApp桌面应用运行的消息中，并利用JavaScript FetchAPI访问本地文件系统。

深入这一漏洞的源头，我们发现WhatsApp桌面应用的脆弱版本使用的是过时且存在已知漏洞的谷歌Chrome浏览器引擎脆弱版本为Chrome 69。较新版本的Chrome引擎能够更好地防范此类恶意代码。这一漏洞影响的是WhatsApp桌面版本0.3.9309及更早版本，并且涉及到在2.20.10之前将其桌面应用程序与WhatsApp配对的iPhone版本用户。

为了应对这一安全威胁，Face已经推出了新版WhatsApp桌面应用，使用了更新的浏览器组件以增强安全性。这一新版应用将更好地保护用户的数据安全，防止恶意攻击。我们强烈建议所有使用WhatsApp桌面的用户尽快更新到版本，以保护自己的隐私和安全。用户也应保持警惕，避免点击来自不可信来源的链接或下载未知来源的文件，以防恶意软件利用此漏洞进行攻击。