Podatności Telegram Desktop
3 znanych podatności CVE w Telegram Desktop, przetłumaczonych i ocenionych.
- CVE-2026-107181Wysokie
Telegram Desktop przed wersją 7.2.9 zawiera podatność na wstrzyknięcie separatora rekordów IPC w komponencie Core::Sandbox, która pozwala zdalnym atakującym wstrzyknąć rekordy OPEN: przez spreparowane linki tg:// zawierające niezmienione średniki. Atakujący mogą dotrzeć do handlera schematu interpret:, aby przesłać lokalne pliki, w tym klucze sesji tdata, na kanał atakującego, co umożliwia przejęcie konta.
- CVE-2021-47793Wysokie
Telegram Desktop 2.9.2 zawiera podatność na odmowę usługi, która pozwala atakującym spowodować awarię aplikacji poprzez wysłanie zbyt dużego ładunku wiadomości. Atakujący mogą wygenerować bufor o rozmiarze 9 milionów bajtów i wkleić go do interfejsu komunikatora, aby wywołać awarię aplikacji.
- CVE-2026-94488Wysokie
Telegram Desktop w wersjach przed 6.9.4 pozwala na XSS w eksporterze HTML. Podatność występuje w button.text.toUtf8 w export_output_html.cpp. Wykorzystanie jest możliwe tylko wtedy, gdy ofiara użyła eksportu HTML, ale złośliwy ładunek może zostać wyeksportowany, jeśli wiadomość została przekazana do grupy przez członka.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS