{"id":183718,"date":"2026-10-09T10:54:03","date_gmt":"2026-10-09T08:54:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimost-v-telegram-desktop-pozvolyayushhaya-otpravit-proizvolnye-fajly-pri-klike-na-ssylku"},"modified":"2026-10-09T10:54:09","modified_gmt":"2026-10-09T08:54:09","slug":"telegram-desktop-vulnerability-allows-arbitrary-files-to-be-sent-when-a-link-is-clicked","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/telegram-desktop-vulnerability-allows-arbitrary-files-to-be-sent-when-a-link-is-clicked","title":{"rendered":"Kwetsbaarheid in Telegram Desktop waarmee willekeurige bestanden kunnen worden verzonden bij het klikken op een link","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Details and exploitation method of the vulnerability (CVE-2026-107181) in Telegram Desktop, the official Telegram client for desktop systems, have been revealed. The issue arises from inadequate handling of unescaped delimiter characters in IPC commands, allowing an attacker to transfer any files from the victim's system, including files with session keys, which can be used to hijack a Telegram account, by clicking on a sent link. The vulnerability has been fixed in Telegram Desktop version 7.2.9.<\/p>\n
Wanneer je op de link 'tg:\/\/' klikt, start het besturingssysteem de bij de linktype behorende applicatie Telegram Desktop. Als er al een andere instantie van deze applicatie draait, wordt de link via een socket en IPC-interface naar de actieve instantie verzonden. Het probleem is dat als je het symbool ';' in de linkparameters opneemt (bijvoorbeeld 'tg:\/\/x?a=1;OPEN...'), de inhoud wordt gesplitst en de delen na het symbool ';' als aparte opdrachten worden behandeld.<\/p>\n
Voor de aanval wordt het commando OPEN gebruikt, samen met de URI-schema 'interpret:', bedoeld om scripts via IPC uit te voeren, die werden gebruikt voor het automatisch verzenden van nieuwe versies naar kanalen. Het script is een vooraf gedefinieerd lokaal bestand dat het naar het kanaal te verzenden bestand en de kanaal-ID aangeeft. Het pad naar de scripts wordt relatief behandeld, maar door het ontbreken van proper filtering van '..' in bestandsnamen, heeft de aanvaller de mogelijkheid om bestanden aan te roepen die buiten de hoofdmap zijn opgeslagen. Je kunt bijvoorbeeld een bestand in je Telegram-groep uploaden en vervolgens verwijzen naar dat bestand als een script door een link van het type:<\/p>\n
The attacker adds the victim to their group (under default settings, adding does not require confirmation from the one being added) and sends a text file to this group, which specifies the channel and the path to the script. Telegram will save this file in a predefined system subdirectory when the victim enters the group.\n