CVE-2026-109427

ŚrednieCVSS 6.5

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Telegram-Stremio do wersji 5.1.0 zawiera lukę złamanej autoryzacji na poziomie obiektu, która pozwala uwierzytelnionym posiadaczom tokenów uzyskać dostęp do dowolnych wiadomości czatu poprzez fałszowanie niepodpisanych identyfikatorów strumieni dekodowanych przez encode_string/decode_string. Atakujący mogą tworzyć lub enumerować sekwencyjne wartości msg_id i ustawić globalną flagę w punkcie końcowym stream_handler, aby kierować żądania przez osobiste konto Userbot operatora, ujawniając prywatne kanały, grupy i Saved Messages, a nieuwierzytelniony punkt końcowy thumb_handler dodatkowo ujawnia miniatury z tych samych czatów bez walidacji tokenu.

Ocena ryzyka

Organizacja korzystająca z Telegram-Stremio może doświadczyć wycieku prywatnych wiadomości, kanałów i grup, w tym zapisanych wiadomości operatora. Może to prowadzić do naruszenia poufności komunikacji i ujawnienia wrażliwych informacji biznesowych lub osobowych.

Rekomendacja

Zaktualizuj Telegram-Stremio do wersji nowszej niż 5.1.0, jeśli jest dostępna, lub wdroż dodatkową walidację tokenów i identyfikatorów strumieni. Ogranicz dostęp do punktów końcowych stream_handler i thumb_handler oraz monitoruj nietypowe żądania dostępu do czatów.

Inne podatności w Telegram-Stremio

CVE-2026-109426Wysokie
Telegram-Stremio do wersji 5.1.0 zawiera podatność niebezpiecznego przechowywania, która umożliwia atakującym z dostępem do bazy danych MongoDB, kopii zapasowych lub logów odzyskanie uwierzytelnionego ciągu sesji Telegram operatora, chronionego tylko bezkluczowym, odwracalnym kodowaniem, a nie prawdziwym szyfrowaniem. Atakujący mogą przepuścić przechowywaną wartość przez funkcję decode_string repozytorium bez tajnego klucza, aby uzyskać w pełni uwierzytelnioną sesję Telegram, dającą całkowitą kontrolę nad kontem operatora, nawet przy włączonej weryfikacji dwuetapowej.

Oryginalny opis (angielski, źródło NVD)

Telegram-Stremio through 5.1.0 contains a broken object-level authorization vulnerability that allows authenticated token holders to access arbitrary chat messages by forging unsigned, unauthenticated stream IDs decoded via encode_string/decode_string functions. Attackers can craft or enumerate sequential msg_id values and set a global flag in the stream_handler endpoint to route requests through the operator's personal Userbot account, exposing private channels, groups, and Saved Messages, while the unauthenticated thumb_handler endpoint further discloses thumbnails from those same chats without any token validation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS