CVE-2026-109426

WysokieCVSS 7.5

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.11%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Telegram-Stremio do wersji 5.1.0 zawiera podatność niebezpiecznego przechowywania, która umożliwia atakującym z dostępem do bazy danych MongoDB, kopii zapasowych lub logów odzyskanie uwierzytelnionego ciągu sesji Telegram operatora, chronionego tylko bezkluczowym, odwracalnym kodowaniem, a nie prawdziwym szyfrowaniem. Atakujący mogą przepuścić przechowywaną wartość przez funkcję decode_string repozytorium bez tajnego klucza, aby uzyskać w pełni uwierzytelnioną sesję Telegram, dającą całkowitą kontrolę nad kontem operatora, nawet przy włączonej weryfikacji dwuetapowej.

Ocena ryzyka

Ryzyko obejmuje całkowite przejęcie konta Telegram operatora, co może prowadzić do naruszenia poufności komunikacji i nieautoryzowanych działań.

Rekomendacja

Zaleca się natychmiastową aktualizację do wersji nowszej niż 5.1.0 oraz wdrożenie prawdziwego szyfrowania z tajnym kluczem dla przechowywanych sesji.

Inne podatności w Telegram-Stremio

CVE-2026-109427Średnie
Telegram-Stremio do wersji 5.1.0 zawiera lukę złamanej autoryzacji na poziomie obiektu, która pozwala uwierzytelnionym posiadaczom tokenów uzyskać dostęp do dowolnych wiadomości czatu poprzez fałszowanie niepodpisanych identyfikatorów strumieni dekodowanych przez encode_string/decode_string. Atakujący mogą tworzyć lub enumerować sekwencyjne wartości msg_id i ustawić globalną flagę w punkcie końcowym stream_handler, aby kierować żądania przez osobiste konto Userbot operatora, ujawniając prywatne kanały, grupy i Saved Messages, a nieuwierzytelniony punkt końcowy thumb_handler dodatkowo ujawnia miniatury z tych samych czatów bez walidacji tokenu.

Oryginalny opis (angielski, źródło NVD)

Telegram-Stremio through 5.1.0 contains an insecure storage vulnerability that allows attackers with access to the MongoDB database, backups, or logs to recover the operator's authenticated Telegram session string, which is protected only by a keyless, reversible encoding transform rather than actual encryption. Attackers can round-trip the stored value through the repository's own decode_string function with no secret key to obtain a fully authenticated Telegram session, granting complete control of the operator's Telegram account even when two-step verification is enabled.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS