{"id":183718,"date":"2026-10-09T10:54:03","date_gmt":"2026-10-09T08:54:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimost-v-telegram-desktop-pozvolyayushhaya-otpravit-proizvolnye-fajly-pri-klike-na-ssylku"},"modified":"2026-10-09T10:54:09","modified_gmt":"2026-10-09T08:54:09","slug":"telegram-desktop-vulnerability-allows-arbitrary-files-to-be-sent-when-a-link-is-clicked","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/telegram-desktop-vulnerability-allows-arbitrary-files-to-be-sent-when-a-link-is-clicked","title":{"rendered":"Vulnerabilit\u00e0 in Telegram Desktop che consente di inviare file arbitrari cliccando su un link","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sono stati rivelati dettagli e il metodo di sfruttamento della vulnerabilit\u00e0 (CVE-2026-107181) in Telegram Desktop, il client ufficiale di Telegram per i sistemi desktop. Il problema \u00e8 causato dalla mancanza di una corretta gestione dei caratteri speciali non escape nelle comandi IPC, che consentiva, cliccando su un link inviato, di trasferire all'attaccante qualsiasi file dal sistema della vittima, compresi i file con le chiavi di sessione, che possono essere utilizzate per catturare l'account Telegram. La vulnerabilit\u00e0 \u00e8 stata corretta nella versione 7.2.9 di Telegram Desktop.<\/p>\n

Cliccando sui link «tg:\/\/», il sistema operativo avvia l'applicazione Telegram Desktop associata a questo tipo di link. Se un'altra istanza di quest'applicazione \u00e8 gi\u00e0 in esecuzione, il processo avviato gli trasmette il link tramite socket utilizzando l'interfaccia IPC. Il problema \u00e8 che se si specifica il simbolo «;» tra i parametri del link (ad esempio, «tg:\/\/x?a=1;OPEN…»), il contenuto viene suddiviso e le parti che seguono il simbolo «;» vengono elaborate come comandi separati.<\/p>\n

Per eseguire l'attacco viene utilizzato il comando OPEN insieme allo schema URI «interpret:», progettato per avviare script di servizio tramite IPC, che venivano utilizzati per inviare automaticamente nuove versioni ai canali. Lo script \u00e8 un file locale predefinito, nel quale \u00e8 indicato il file da inviare al canale e l'identificativo del canale. Il percorso del file per gli script \u00e8 trattato rispetto a una sottodirectory di servizio, ma a causa della mancanza di pulizia di «..» nei percorsi dei file, l'attaccante ha la possibilit\u00e0 di accedere a file memorizzati al di fuori della directory di base. Ad esempio, \u00e8 possibile caricare un file nel proprio gruppo Telegram, per poi fare riferimento a questo file come script, preparando un link del tipo:<\/p>\n

tg:\/\/x?a=1;OPEN:interpret:..\/..\/..\/Downloads\/Telegram%20Desktop\/instructions.txt<\/p>\n

Fasi dell'attacco:<\/p>\n