CVE-2026-107181
WysokieCVSS 8.1Streszczenie
Telegram Desktop przed wersją 7.2.9 zawiera podatność na wstrzyknięcie separatora rekordów IPC w komponencie Core::Sandbox, która pozwala zdalnym atakującym wstrzyknąć rekordy OPEN: przez spreparowane linki tg:// zawierające niezmienione średniki. Atakujący mogą dotrzeć do handlera schematu interpret:, aby przesłać lokalne pliki, w tym klucze sesji tdata, na kanał atakującego, co umożliwia przejęcie konta.
Ocena ryzyka
Atakujący może przejąć konto użytkownika, kradnąc klucze sesji, co prowadzi do pełnej kompromitacji konta i danych.
Rekomendacja
Zaleca się aktualizację Telegram Desktop do wersji 7.2.9 lub nowszej, aby zapobiec wstrzyknięciu rekordów IPC i kradzieży danych.
Inne podatności w Telegram Desktop
Zobacz wszystkie- CVE-2021-47793Wysokie
Telegram Desktop 2.9.2 zawiera podatność na odmowę usługi, która pozwala atakującym spowodować awarię aplikacji poprzez wysłanie zbyt dużego ładunku wiadomości. Atakujący mogą wygenerować bufor o rozmiarze 9 milionów bajtów i wkleić go do interfejsu komunikatora, aby wywołać awarię aplikacji.
- CVE-2026-94488Wysokie
Telegram Desktop w wersjach przed 6.9.4 pozwala na XSS w eksporterze HTML. Podatność występuje w button.text.toUtf8 w export_output_html.cpp. Wykorzystanie jest możliwe tylko wtedy, gdy ofiara użyła eksportu HTML, ale złośliwy ładunek może zostać wyeksportowany, jeśli wiadomość została przekazana do grupy przez członka.
- CVE-2026-7701Średnie
W Telegram Desktop do wersji 6.7.5 funkcja RequestButton w pliku url_auth_box.cpp komponentu Bot API, przy manipulacji argumentem login_url, prowadzi do dereferencji wskaźnika null. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony. Istnieją wątpliwości co do rzeczywistego istnienia tej podatności, a producent twierdzi, że powoduje ona jedynie jednorazową awarię bez konsekwencji bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
Telegram Desktop before 7.2.9 contains an IPC record-separator injection vulnerability in Core::Sandbox that allows remote attackers to inject OPEN: records via crafted tg:// links containing unescaped semicolons. Attackers can reach the interpret: scheme handler to upload local files, including tdata session keys, to an attacker channel, enabling account takeover.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS