{"id":183718,"date":"2026-10-09T10:54:03","date_gmt":"2026-10-09T08:54:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimost-v-telegram-desktop-pozvolyayushhaya-otpravit-proizvolnye-fajly-pri-klike-na-ssylku"},"modified":"2026-10-09T10:54:09","modified_gmt":"2026-10-09T08:54:09","slug":"telegram-desktop-vulnerability-allows-arbitrary-files-to-be-sent-when-a-link-is-clicked","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/telegram-desktop-vulnerability-allows-arbitrary-files-to-be-sent-when-a-link-is-clicked","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans Telegram Desktop permettant d'envoyer des fichiers arbitraires en cliquant sur un lien","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Des d\u00e9tails et une m\u00e9thode d'exploitation de la vuln\u00e9rabilit\u00e9 (CVE-2026-107181) dans Telegram Desktop, le client officiel de Telegram pour les syst\u00e8mes de bureau, ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9s. Le probl\u00e8me r\u00e9sulte d'un traitement inad\u00e9quat des caract\u00e8res de s\u00e9paration non \u00e9chapp\u00e9s dans les commandes IPC, ce qui permettait, en cliquant sur un lien envoy\u00e9, de transf\u00e9rer \u00e0 l'attaquant n'importe quel fichier du syst\u00e8me de la victime, y compris des fichiers contenant des cl\u00e9s de session pouvant \u00eatre utilis\u00e9s pour prendre le contr\u00f4le d'un compte Telegram. La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans la version 7.2.9 de Telegram Desktop.<\/p>\n
Lorsqu'un lien \u00ab tg:\/\/ \u00bb est cliqu\u00e9, le syst\u00e8me d'exploitation lance l'application associ\u00e9e de type Telegram Desktop. Si une autre instance de cette application est d\u00e9j\u00e0 en cours d'ex\u00e9cution, le processus en cours lui transmet le lien via un socket \u00e0 l'aide de l'interface IPC. Le probl\u00e8me est que si un caract\u00e8re \u00ab ; \u00bb est inclus parmi les param\u00e8tres du lien (par exemple, \u00ab tg:\/\/x?a=1;OPEN\u2026 \u00bb), le contenu est divis\u00e9 et les parties apr\u00e8s le caract\u00e8re \u00ab ; \u00bb sont trait\u00e9es comme des commandes s\u00e9par\u00e9es.<\/p>\n
Une attaque utilise la commande OPEN avec le sch\u00e9ma URI \u00ab interpret: \u00bb, destin\u00e9 \u00e0 ex\u00e9cuter des scripts syst\u00e8me via IPC, qui \u00e9taient utilis\u00e9s pour envoyer automatiquement de nouvelles versions dans les canaux. Le script repr\u00e9sente un fichier local pr\u00e9d\u00e9fini, dans lequel le fichier \u00e0 envoyer au canal et l'identifiant du canal sont sp\u00e9cifi\u00e9s. Le chemin du fichier vers les scripts est trait\u00e9 par rapport \u00e0 un sous-dossier syst\u00e8me, mais en raison de l'absence de nettoyage \u00ab ..\/ \u00bb dans les chemins de fichiers, l'attaquant a la possibilit\u00e9 d'acc\u00e9der \u00e0 des fichiers stock\u00e9s en dehors du r\u00e9pertoire de base. Par exemple, il est possible de t\u00e9l\u00e9charger un fichier dans son groupe Telegram, puis de r\u00e9f\u00e9rencer ce fichier comme un script, en pr\u00e9parant un lien du type :<\/p>\n
L'attaquant ajoute la victime \u00e0 son groupe (par d\u00e9faut, l'ajout ne n\u00e9cessite pas de confirmation de la personne ajout\u00e9e) et envoie dans ce groupe un fichier texte contenant le canal et le chemin du script. Telegram enregistrera ce fichier dans un sous-r\u00e9pertoire syst\u00e8me pr\u00e9d\u00e9fini lorsque la victime rejoindra le groupe.\n