Telegram Desktop vulnerability allowed any user's file to be stolen
Telegram Desktop уязвим к однокликовому захвату аккаунта через локальный сокет межпроцессного взаимодействия (IPC). При запуске второй экземпляр приложения передаёт ссылку уже запущенному процессу в виде текста через сокет, используя точку с запятой как разделитель команд. Поскольку символ ; не экранируется в передаваемой строке, злоумышленник может внедрить дополнительные команды, подменив ссылку вида tg://x?a=1;OPEN:interpret://path/to/file. Это позволяет выполнить произвольную команду interpret:, которая читает локальный файл и отправляет его в чат без проверки отправителя или подтверждения пользователя.
Эта цепочка приводит к удалённому чтению произвольных файлов с устройства жертвы, включая файлы сессии Telegram (например, tdata), которые могут быть эксфильтрированы в чат, контролируемый атакующим, что приводит к полному захвату аккаунта. Уязвимость присутствует в версиях до 7.2.8 и подтверждена на Windows (6.9.3). Исправление выпущено в версии 7.2.9 (коммит db3405699f): добавлено экранирование точки с запятой через процентно-кодированный hex, удалена поддержка опасной схемы interpret:, а также введены фильтрация команд CMD: и CTRL: и отбрасывание локальных путей после нелокального URL. CVE-2026-107181 присвоен с оценкой严重ности 8.1 (High).