CVE-2026-73031
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
telegram-search zawiera podatność na trwały atak XSS, która pozwala zdalnym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarkach ofiar poprzez wysyłanie spreparowanych wiadomości z nieprzesanizowanym HTML do wspólnej grupy Telegram. Funkcja highlightKeyword w MessageList.vue przekazuje surową treść wiadomości bezpośrednio do v-html bez escapowania HTML ani sanityzacji, co umożliwia trwałe, międzyużytkownikowe, zero-kliknięciowe wykonanie wstrzykniętych payloadów, takich jak procedury obsługi błędów obrazów, gdy ofiary przeglądają lub wyszukują wiadomości.
Ocena ryzyka
Atakujący może przejąć sesje użytkowników, wykraść dane lub rozprzestrzeniać złośliwe treści w obrębie grupy Telegram, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację telegram-search do wersji, w której podatność została naprawiona, oraz wdrożenie sanityzacji HTML dla wszystkich danych wejściowych przed użyciem v-html.
Oryginalny opis (angielski, źródło NVD)
telegram-search contains a stored cross-site scripting vulnerability that allows remote attackers to execute arbitrary JavaScript in victims' browsers by sending crafted messages containing unsanitized HTML to a shared Telegram group. The highlightKeyword function in MessageList.vue passes raw message content directly to v-html without HTML escaping or sanitization, enabling stored, cross-user, zero-click execution of injected payloads such as image onerror handlers when victims browse or search messages.