{"id":183718,"date":"2026-10-09T10:54:03","date_gmt":"2026-10-09T08:54:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimost-v-telegram-desktop-pozvolyayushhaya-otpravit-proizvolnye-fajly-pri-klike-na-ssylku"},"modified":"2026-10-09T10:54:09","modified_gmt":"2026-10-09T08:54:09","slug":"telegram-desktop-vulnerability-allows-arbitrary-files-to-be-sent-when-a-link-is-clicked","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/telegram-desktop-vulnerability-allows-arbitrary-files-to-be-sent-when-a-link-is-clicked","title":{"rendered":"Eine Schwachstelle in Telegram Desktop erm\u00f6glicht das Senden beliebiger Dateien durch Klicken auf einen Link","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Details and the method of exploitation of the vulnerability (CVE-2026-107181) in Telegram Desktop, the official Telegram client for desktop systems, have been revealed. The issue was caused by improper handling of unescaped delimiter characters in IPC commands, allowing an attacker to transfer any files from the victim's system, including files with session keys that can be used to take over the Telegram account, by clicking on a sent link. The vulnerability has been fixed in Telegram Desktop version 7.2.9.<\/p>\n
Beim Klicken auf die Links \u201etg:\/\/\u201c startet das Betriebssystem die mit diesen Linktypen verbundene Anwendung Telegram Desktop. Wenn bereits eine andere Instanz dieser Anwendung im System ausgef\u00fchrt wird, \u00fcbertr\u00e4gt der laufende Prozess den Link \u00fcber einen Socket mithilfe der IPC-Schnittstelle. Das Problem besteht darin, dass, wenn das Zeichen \u201e;\u201c unter den Linkparametern angegeben wird (zum Beispiel \u201etg:\/\/x?a=1;OPEN...\u201c), der Inhalt aufgeteilt wird und die nach dem Zeichen \u201e;\u201c folgenden Teile als separate Befehle verarbeitet werden.<\/p>\n
F\u00fcr den Angriff wird der Befehl OPEN zusammen mit dem URI-Schema \u201einterpret:\u201c verwendet, das zum Starten von Dienstscripten \u00fcber IPC bestimmt ist, welche f\u00fcr das automatische Senden neuer Versionen in Kan\u00e4le verwendet wurden. Das Skript stellt eine vordefinierte lokale Datei dar, in der die zu sendende Datei und die Kanal-ID angegeben sind. Der Dateipfad zu den Skripten wird relativ zu einem Dienstunterverzeichnis verarbeitet, aber aufgrund des Fehlens von Bereinigungen bei den Dateipfaden hat der Angreifer die M\u00f6glichkeit, auf Dateien zuzugreifen, die au\u00dferhalb des Basisverzeichnisses gespeichert sind. Zum Beispiel kann man eine Datei in seine Telegram-Gruppe hochladen und dann auf diese Datei als Skript verweisen, indem man einen Link vom Typ:<\/p>\n
The attacker adds the victim to their group (under default settings, adding does not require confirmation from the added user) and sends a text file to this group that specifies the channel and the script path. Telegram will save this file in a predefined system subdirectory once the victim enters the group.\n