{"id":183718,"date":"2026-10-09T10:54:03","date_gmt":"2026-10-09T08:54:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimost-v-telegram-desktop-pozvolyayushhaya-otpravit-proizvolnye-fajly-pri-klike-na-ssylku"},"modified":"2026-10-09T10:54:09","modified_gmt":"2026-10-09T08:54:09","slug":"telegram-desktop-vulnerability-allows-arbitrary-files-to-be-sent-when-a-link-is-clicked","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/telegram-desktop-vulnerability-allows-arbitrary-files-to-be-sent-when-a-link-is-clicked","title":{"rendered":"Vulnerabilidade no Telegram Desktop que permite o envio de arquivos arbitr\u00e1rios ao clicar em um link.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Detalhes e m\u00e9todo de explora\u00e7\u00e3o da vulnerabilidade (CVE-2026-107181) no Telegram Desktop, o cliente oficial do Telegram para sistemas de desktop, foram revelados. O problema \u00e9 causado pela falta de tratamento adequado de caracteres de separa\u00e7\u00e3o n\u00e3o escapados em comandos IPC, permitindo que, ao clicar em um link enviado, qualquer arquivo do sistema da v\u00edtima fosse transferido para o atacante, incluindo arquivos com chaves de sess\u00e3o que podem ser usadas para capturar a conta do Telegram. A vulnerabilidade foi corrigida na vers\u00e3o 7.2.9 do Telegram Desktop.<\/p>\n

Ao clicar em links «tg:\/\/», o sistema operacional inicia o aplicativo Telegram Desktop associado a esse tipo de link. Se uma outra inst\u00e2ncia desse aplicativo j\u00e1 estiver em execu\u00e7\u00e3o, o processo em execu\u00e7\u00e3o passar\u00e1 o link para ela atrav\u00e9s de um socket usando a interface IPC. O problema \u00e9 que, se o s\u00edmbolo «;» for inclu\u00eddo entre os par\u00e2metros do link (por exemplo, «tg:\/\/x?a=1;OPEN…»), o conte\u00fado \u00e9 dividido e as partes que seguem o s\u00edmbolo «;» s\u00e3o processadas como comandos separados.<\/p>\n

Para realizar o ataque, foi utilizada a comando OPEN junto com o esquema URI «interpret:», destinado a executar scripts administrativos via IPC, que eram usados para enviar automaticamente novas vers\u00f5es para canais. O script consiste em um arquivo local predefinido, no qual est\u00e1 especificado qual arquivo \u00e9 enviado ao canal e o identificador do canal. O caminho do arquivo para os scripts \u00e9 tratado em rela\u00e7\u00e3o a um subdiret\u00f3rio de servi\u00e7o, mas devido \u00e0 falta de limpeza de «..» nos caminhos dos arquivos, o atacante tem a op\u00e7\u00e3o de acessar arquivos armazenados fora do diret\u00f3rio b\u00e1sico. Por exemplo, pode-se enviar um arquivo para seu grupo no Telegram e, em seguida, referenciar esse arquivo como um script, preparando um link do tipo:<\/p>\n

tg:\/\/x?a=1;OPEN:interpret:..\/..\/..\/Downloads\/Telegram%20Desktop\/instructions.txt<\/p>\n

Etapas para realizar o ataque:<\/p>\n