CVE-2026-7701
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W Telegram Desktop do wersji 6.7.5 funkcja RequestButton w pliku url_auth_box.cpp komponentu Bot API, przy manipulacji argumentem login_url, prowadzi do dereferencji wskaźnika null. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony. Istnieją wątpliwości co do rzeczywistego istnienia tej podatności, a producent twierdzi, że powoduje ona jedynie jednorazową awarię bez konsekwencji bezpieczeństwa.
Ocena ryzyka
Potencjalny atakujący może zdalnie wywołać awarię aplikacji u ofiary, powodując chwilową niedostępność. Producent zaprzecza realnemu zagrożeniu bezpieczeństwa, twierdząc, że wymaga to aktywnego działania użytkownika i nie ma trwałych skutków.
Rekomendacja
Zaktualizuj Telegram Desktop do wersji 6.7.6, która rozwiązuje problem. Zachowaj ostrożność przy interakcji z nieznanymi linkami logowania.
Inne podatności w Telegram Desktop
Zobacz wszystkie- CVE-2026-107181Wysokie
Telegram Desktop przed wersją 7.2.9 zawiera podatność na wstrzyknięcie separatora rekordów IPC w komponencie Core::Sandbox, która pozwala zdalnym atakującym wstrzyknąć rekordy OPEN: przez spreparowane linki tg:// zawierające niezmienione średniki. Atakujący mogą dotrzeć do handlera schematu interpret:, aby przesłać lokalne pliki, w tym klucze sesji tdata, na kanał atakującego, co umożliwia przejęcie konta.
- CVE-2021-47793Wysokie
Telegram Desktop 2.9.2 zawiera podatność na odmowę usługi, która pozwala atakującym spowodować awarię aplikacji poprzez wysłanie zbyt dużego ładunku wiadomości. Atakujący mogą wygenerować bufor o rozmiarze 9 milionów bajtów i wkleić go do interfejsu komunikatora, aby wywołać awarię aplikacji.
- CVE-2026-94488Wysokie
Telegram Desktop w wersjach przed 6.9.4 pozwala na XSS w eksporterze HTML. Podatność występuje w button.text.toUtf8 w export_output_html.cpp. Wykorzystanie jest możliwe tylko wtedy, gdy ofiara użyła eksportu HTML, ale złośliwy ładunek może zostać wyeksportowany, jeśli wiadomość została przekazana do grupy przez członka.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in Telegram Desktop up to 6.7.5. This vulnerability affects the function RequestButton of the file Telegram/SourceFiles/boxes/url_auth_box.cpp of the component Bot API. The manipulation of the argument login_url leads to null pointer dereference. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used. There is ongoing doubt regarding the real existence of this vulnerability. Upgrading to version 6.7.6 is able to resolve this issue. Upgrading the affected component is recommended. The vendor provides this rationale for the dispute: "[T]he described scenario does not lead to any security issue or vulnerability, and only causes a one-time crash. In the outlined scenario, the targeted user must perform an active action, which doesn't produce any consequences after the app is relaunched."
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS