В WeChat обнаружен серьёзный баг, позволяющий управлять сообщениями друзей

В мессенджере WeChat обнаружен критический баг, который позволяет пользователям заставлять своих друзей отправлять произвольные текстовые сообщения. Уязвимость затрагивает Android-версии приложения и устройства под управлением HarmonyOS 4.3 и более старых версий.

Эксплуатация бага осуществляется путём отправки специального кода:

<a href="weixin://bizmsgmenu?msgmenucontent=Текст&msgmenuid=960">Кликни</a>

Где «Текст» — это сообщение, которое автоматически отправит получатель при нажатии на ссылку «Кликни». При этом ссылка отображается в чате синим цветом.

Для активации бага достаточно процитировать любое сообщение в чате (своё, собеседника или участника группы) и отправить вышеуказанный код. После нажатия на ссылку получатель автоматически отправит заданный текст.

Уязвимость использует функционал автоматических ответов публичных аккаунтов WeChat. В Android-версии отсутствует проверка авторизации, что позволяет обычным пользователям злоупотреблять этой возможностью.

В HarmonyOS 5 ссылка отображается, но при нажатии приводит к появлению белого экрана без выполнения команды. В других клиентах код отображается как обычный текст без возможности активации.

Компания Tencent, владелец WeChat, пока не прокомментировала ситуацию, но ожидается, что баг будет исправлен в ближайшее время.