CVE-2026-107181
WysokieCVSS 8.1Streszczenie
Telegram Desktop przed wersją 7.2.9 zawiera podatność na wstrzyknięcie separatora rekordów IPC w komponencie Core::Sandbox, która pozwala zdalnym atakującym wstrzyknąć rekordy OPEN: przez spreparowane linki tg:// zawierające niezmienione średniki. Atakujący mogą dotrzeć do handlera schematu interpret:, aby przesłać lokalne pliki, w tym klucze sesji tdata, na kanał atakującego, co umożliwia przejęcie konta.
Ocena ryzyka
Atakujący może przejąć konto użytkownika, kradnąc klucze sesji, co prowadzi do pełnej kompromitacji konta i danych.
Rekomendacja
Zaleca się aktualizację Telegram Desktop do wersji 7.2.9 lub nowszej, aby zapobiec wstrzyknięciu rekordów IPC i kradzieży danych.
Inne podatności w Telegram Desktop
Zobacz wszystkie- CVE-2021-47793Wysokie
Telegram Desktop 2.9.2 zawiera podatność na odmowę usługi, która pozwala atakującym spowodować awarię aplikacji poprzez wysłanie zbyt dużego ładunku wiadomości. Atakujący mogą wygenerować bufor o rozmiarze 9 milionów bajtów i wkleić go do interfejsu komunikatora, aby wywołać awarię aplikacji.
- CVE-2026-94488Wysokie
Telegram Desktop w wersjach przed 6.9.4 pozwala na XSS w eksporterze HTML. Podatność występuje w button.text.toUtf8 w export_output_html.cpp. Wykorzystanie jest możliwe tylko wtedy, gdy ofiara użyła eksportu HTML, ale złośliwy ładunek może zostać wyeksportowany, jeśli wiadomość została przekazana do grupy przez członka.
Oryginalny opis (angielski, źródło NVD)
Telegram Desktop before 7.2.9 contains an IPC record-separator injection vulnerability in Core::Sandbox that allows remote attackers to inject OPEN: records via crafted tg:// links containing unescaped semicolons. Attackers can reach the interpret: scheme handler to upload local files, including tdata session keys, to an attacker channel, enabling account takeover.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS