{"id":183718,"date":"2026-10-09T10:54:03","date_gmt":"2026-10-09T08:54:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimost-v-telegram-desktop-pozvolyayushhaya-otpravit-proizvolnye-fajly-pri-klike-na-ssylku"},"modified":"2026-10-09T10:54:09","modified_gmt":"2026-10-09T08:54:09","slug":"telegram-desktop-vulnerability-allows-arbitrary-files-to-be-sent-when-a-link-is-clicked","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/telegram-desktop-vulnerability-allows-arbitrary-files-to-be-sent-when-a-link-is-clicked","title":{"rendered":"Una vulnerabilidad en Telegram Desktop que permite enviar archivos arbitrarios al hacer clic en un enlace.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se han revelado los detalles y el m\u00e9todo de explotaci\u00f3n de la vulnerabilidad (CVE-2026-107181) en Telegram Desktop, el cliente oficial de Telegram para sistemas de escritorio. El problema es causado por la falta de un manejo adecuado de los caracteres delimitadores no escapados en los comandos IPC, lo que permit\u00eda, al hacer clic en un enlace enviado, transferir al atacante cualquier archivo del sistema de la v\u00edctima, incluidos los archivos con claves de sesi\u00f3n que pueden usarse para tomar posesi\u00f3n de la cuenta de Telegram. La vulnerabilidad ha sido corregida en la versi\u00f3n Telegram Desktop 7.2.9.<\/p>\n
Al hacer clic en los enlaces \u00abtg:\/\/\u00bb, el sistema operativo abre la aplicaci\u00f3n Telegram Desktop asociada a este tipo de enlaces. Si otro proceso de esta aplicaci\u00f3n ya est\u00e1 en ejecuci\u00f3n, el proceso en ejecuci\u00f3n le env\u00eda el enlace a trav\u00e9s de un socket mediante la interfaz IPC. El problema es que si se incluye el s\u00edmbolo \u00ab;\u00bb entre los par\u00e1metros del enlace (por ejemplo, \u00abtg:\/\/x?a=1;OPEN...\u00bb), el contenido se divide y las partes que vienen despu\u00e9s del s\u00edmbolo \u00ab;\u00bb se procesan como comandos separados.<\/p>\n
Para llevar a cabo el ataque se utiliza el comando OPEN junto con el esquema URI \u00abinterpret:\u00bb, destinado a ejecutar scripts auxiliares a trav\u00e9s de IPC, los cuales se utilizaban para enviar autom\u00e1ticamente nuevas versiones a los canales. El script consiste en un archivo local predefinido que especifica el archivo enviado al canal y el identificador del canal. La ruta del archivo de los scripts se procesa en relaci\u00f3n con un subdirectorio auxiliar, pero debido a la falta de limpieza de \u00ab..\/\u00bb en las rutas de los archivos, el atacante tiene la posibilidad de acceder a archivos almacenados fuera del directorio base. Por ejemplo, se puede cargar un archivo en su grupo de telegram, y luego referirse a este archivo como un script, preparando un enlace del tipo:<\/p>\n
El atacante a\u00f1ade a la v\u00edctima a su grupo (con la configuraci\u00f3n por defecto, a\u00f1adir no requiere confirmaci\u00f3n de la persona a\u00f1adida) y env\u00eda a este grupo un archivo de texto que especifica el canal y la ruta al script. Telegram guardar\u00e1 este archivo en un subdirectorio del sistema predefinido cuando la v\u00edctima entre al grupo.\n