CVE-2019-18426

Falha de cross-site scripting (CWE-79) no WhatsApp Desktop que, quando o cliente está pareado com um iPhone rodando uma versão vulnerável do WhatsApp para iOS, permite também leitura de arquivos locais da máquina da vítima. A exploração exige que a vítima clique no preview de link de uma mensagem de texto especialmente forjada — não é zero-click. Está no catálogo KEV da CISA por exploração confirmada em ambiente real, o que eleva a prioridade mesmo com a necessidade de interação do usuário.

A vulnerabilidade nasce na geração de preview de links dentro de mensagens de texto no WhatsApp Desktop, quando o app está sincronizado (pareado) com uma instalação vulnerável do WhatsApp para iPhone. O CWE associado pela CISA é CWE-79 (Cross-Site Scripting), indicando que dados controlados pelo remetente da mensagem — presumivelmente metadados ou conteúdo usado para renderizar o preview — não são sanitizados corretamente antes de serem interpretados como HTML/JS no contexto do cliente desktop.

A descrição oficial soma a isso 'local file reading', ou seja, o XSS não fica confinado ao contexto de renderização do preview: consegue escapar para acessar recursos do sistema de arquivos local da vítima. Isso é típico de aplicações desktop construídas sobre motores de renderização web sem isolamento de contexto adequado entre conteúdo remoto (a mensagem/preview) e privilégios locais do processo. As fontes disponíveis não detalham o componente exato de código nem o payload usado para escapar o sandbox — esse nível de profundidade técnica não está documentado nos materiais consultados (o advisory da Meta e o writeup do PacketStorm cobrem o PoC, mas o conteúdo integral não foi analisado aqui além do título).

O atacante controla o conteúdo da mensagem de texto e, especificamente, os dados que alimentam o preview do link — isso é a superfície de injeção. O impacto de confidencialidade é classificado como alto (C:H) no vetor CVSS, compatível com a leitura de arquivos locais; integridade é baixa (I:L) e não há impacto de disponibilidade (A:N).

O vetor de ataque é uma mensagem de texto enviada pelo atacante contendo um link cujo preview, ao ser renderizado, dispara a execução de script no contexto do WhatsApp Desktop. A pré-condição crítica que a manchete não deixa óbvia: o cliente desktop precisa estar pareado com um WhatsApp para iPhone em versão vulnerável (anterior à 2.20.10) — não basta ter apenas o Desktop desatualizado isoladamente, segundo a descrição oficial. Isso reduz a superfície real: usuários de WhatsApp Desktop pareados com Android não se encaixam no cenário descrito pelo fornecedor.

A interação do usuário é obrigatória (UI:R no vetor CVSS) — a vítima precisa clicar no preview do link dentro da mensagem maliciosa. Não há exploração passiva ou zero-click documentada. Uma vez que o clique ocorre, o script injetado roda no contexto do cliente desktop e pode ler arquivos locais acessíveis ao processo, potencialmente expondo dados sensíveis do sistema da vítima (chaves, tokens, arquivos de configuração, dependendo do que estiver acessível).

O CVE está no catálogo KEV da CISA, que só lista vulnerabilidades com evidência de exploração real — não teórica. Existe PoC público (referenciado no PacketStorm, versão 0.3.9308) que documenta a técnica de XSS no cliente desktop, o que reduz a barreira de reprodução para quem já tenha as pré-condições de pareamento satisfeitas.

A correção do fornecedor consiste em atualizar ambos os componentes envolvidos: WhatsApp Desktop para versão 0.3.9309 ou posterior, e WhatsApp para iPhone para 2.20.10 ou posterior. Atualizar apenas um dos dois lados não elimina o cenário de exploração descrito pela Meta, já que a falha depende do pareamento entre as duas versões vulneráveis.

Como paliativo real quando a atualização imediata não é possível: evitar clicar em previews de links recebidos de contatos desconhecidos ou não verificados no WhatsApp Desktop, e considerar desativar temporariamente o pareamento com dispositivos iOS não atualizados. Isso reduz a probabilidade de exploração mas não elimina a vulnerabilidade em si — é mitigação de risco comportamental, não correção técnica.

Não há indicação nas fontes de que configurações de rede, WAF ou proxy tenham qualquer efeito de mitigação — a falha ocorre no processamento local do cliente, não em uma superfície de rede filtrável por esses controles.

Não há assinatura de rede ou padrão de log confiável documentado nas fontes consultadas para identificar tentativas de exploração — o ataque ocorre client-side, dentro do processamento de preview de mensagens, sem tráfego de rede distinto do uso normal do WhatsApp (que é criptografado ponto a ponto, o que também limita inspeção). A entrada no catálogo KEV confirma exploração em ambiente real, mas não fornece indicadores técnicos específicos de comprometimento.