CVE-2021-47793
WysokieStreszczenie
Telegram Desktop 2.9.2 zawiera podatność na odmowę usługi, która pozwala atakującym spowodować awarię aplikacji poprzez wysłanie zbyt dużego ładunku wiadomości. Atakujący mogą wygenerować bufor o rozmiarze 9 milionów bajtów i wkleić go do interfejsu komunikatora, aby wywołać awarię aplikacji.
Ocena ryzyka
Ryzyko obejmuje przerwanie działania aplikacji, co może prowadzić do utraty produktywności i niedostępności komunikacji. Atakujący może celowo wywołać awarię u wielu użytkowników.
Rekomendacja
Zaleca się aktualizację Telegram Desktop do najnowszej wersji z poprawką. Należy również unikać otwierania podejrzanych wiadomości i stosować zabezpieczenia sieciowe.
Inne podatności w Telegram Desktop
Zobacz wszystkie- CVE-2026-107181Wysokie
Telegram Desktop przed wersją 7.2.9 zawiera podatność na wstrzyknięcie separatora rekordów IPC w komponencie Core::Sandbox, która pozwala zdalnym atakującym wstrzyknąć rekordy OPEN: przez spreparowane linki tg:// zawierające niezmienione średniki. Atakujący mogą dotrzeć do handlera schematu interpret:, aby przesłać lokalne pliki, w tym klucze sesji tdata, na kanał atakującego, co umożliwia przejęcie konta.
- CVE-2026-94488Wysokie
Telegram Desktop w wersjach przed 6.9.4 pozwala na XSS w eksporterze HTML. Podatność występuje w button.text.toUtf8 w export_output_html.cpp. Wykorzystanie jest możliwe tylko wtedy, gdy ofiara użyła eksportu HTML, ale złośliwy ładunek może zostać wyeksportowany, jeśli wiadomość została przekazana do grupy przez członka.
- CVE-2026-7701Średnie
W Telegram Desktop do wersji 6.7.5 funkcja RequestButton w pliku url_auth_box.cpp komponentu Bot API, przy manipulacji argumentem login_url, prowadzi do dereferencji wskaźnika null. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony. Istnieją wątpliwości co do rzeczywistego istnienia tej podatności, a producent twierdzi, że powoduje ona jedynie jednorazową awarię bez konsekwencji bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
Telegram Desktop 2.9.2 contains a denial of service vulnerability that allows attackers to crash the application by sending an oversized message payload. Attackers can generate a 9 million byte buffer and paste it into the messaging interface to trigger an application crash.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS