文章总结： 本文详细介绍了QQWindows客户端高危漏洞QVD-2025-45847的复现过程，该漏洞为跨站脚本注入类型，影响9.9.25.42744版本，允许攻击者通过发送恶意消息远程执行JavaScript代码，窃取用户凭证、控制摄像头、获取系统信息等。文章提供了漏洞成因分析、危害评估、复现步骤以及修复建议，建议用户立即更新至最新版本并加强安全防护。
综合评分： 88
文章分类： 漏洞分析,漏洞预警,WEB安全,实战经验,安全意识
QQ高危漏洞(QVD-2025-45847)复现，速查你的版本！
原创
m3x1
梦醒安全
2025年12月5日 08:01
湖北
免责声明：本公众号内容仅用于知识分享和学习，由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号梦醒安全及作者不为此承担任何责任，一旦造成后果请自行承担！
PART.01
前言
近期，腾讯QQ Windows客户端被曝出一个高危跨站脚本漏洞（编号：QVD-2025-45847），攻击者可通过发送恶意消息，在用户无需任何交互的情况下远程控制设备。鉴于QQ庞大的用户基数，该漏洞潜在风险需高度警惕。
PART.02
介绍
漏洞核心信息速览
-
漏洞类型
：跨站脚本注入（XSS）
-
影响版本
：QQ Windows客户端 9.9.25.42744（2025年11月26日发布的非正式版本，官方已下架）
-
危害等级
：高危
-
披露时间
：2025年11月29日
-
核心风险
：远程执行JavaScript代码，可窃取凭证、控制摄像头、获取IP及系统敏感信息，甚至劫持用户行为
漏洞成因：前端过滤不严，恶意代码”无感”触发
该漏洞源于QQ客户端对聊天消息的前端代码处理存在缺陷，尤其对onerror标签的过滤不严格。攻击者可构造特殊格式的恶意文本（在聊天窗口中显示为”破损图片”样式），当用户打开包含该消息的聊天窗口时，无需点击、下载等操作，恶意代码即可自动执行。
由于新版QQ基于Electron框架开发，漏洞触发后会直接影响客户端内置浏览器环境，为攻击者进一步渗透提供了入口。
漏洞危害：隐蔽性强，风险范围广
-
远程控制设备
成功利用后，攻击者可通过漏洞获取用户浏览器权限，远程操控设备摄像头、截取屏幕、获取IP地址及系统版本（如Windows 10 LTSC等）、浏览器指纹等敏感信息。
-
攻击隐蔽性极高
恶意消息在聊天记录中显示为”破损图片”，用户难以分辨异常，打开聊天窗口即触发攻击，无任何明显交互提示。
-
潜在影响规模大
尽管涉事版本为非正式版本且已下架，但仍有部分用户可能未及时更新，加之QQ用户基数庞大，若被大规模利用，后果严重。
PART.03
复现
1. 初步验证：弹窗确认漏洞存在
在涉事版本（9.9.25.42744）中，发送包含特殊img标签的测试代码，聊天窗口会显示破损图片图标，同时弹出JavaScript执行弹窗，证明漏洞可被触发。
payload:
<img src=1 onerror=alert("123");>
2. 深入利用：劫持浏览器权限
通过浏览器渗透框架（如Beef）构造恶意链接，结合漏洞绕过过滤机制，可使受害者QQ内置浏览器自动跳转至攻击页面，攻击者进而获取会话权限，执行屏幕截图、IP探测等操作。
PART.04
修复方式
目前腾讯已发布新版QQ修复该漏洞，建议所有用户立即采取以下措施：
-
检查当前版本
打开QQ→点击”菜单”→”设置”→”关于QQ与帮助”，确认版本是否为9.9.25.42744，若为该版本需立即升级。
-
强制升级客户端
通过QQ内”设置→软件更新”完成在线升级，或直接访问腾讯QQ官方网站下载最新版本。
-
增强安全防护
确保杀毒软件（如360、火绒等）为最新版本，开启实时防护功能，对可疑文件及链接保持警惕。
PART.05
写在最后
网络安全无小事，尤其是即时通讯工具作为高频使用场景，需时刻注意：
- 不轻易接收陌生人消息中的图片、链接或文件；
- 养成定期更新软件的习惯，及时修补已知漏洞；
- 若发现异常弹窗、设备卡顿等情况，立即断开网络并进行全盘杀毒。
往期好文
红蓝对抗新利器：PotatoTool一站式搞定渗透测试与防御
摸鱼神器！这款轻量网页音乐播放器，Docker部署3分钟搞定
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：梦醒安全 m3x1《QQ高危漏洞(QVD-2025-45847)复现，速查你的版本！》