Уязвимость в Telegram Desktop до 7.2.9: CVE-2026-107181, 8,6 по CVSS

В Telegram Desktop до версии 7.2.9 нашли уязвимость высокого уровня опасности. Ей присвоили идентификатор CVE-2026-107181 и оценку 8,6 по CVSS 4.0. Уведомление об этом опубликовала компания VulnCheck 7 октября 2026 года.

Проблема сидит в модуле Core::Sandbox и относится к классу CWE-143, ненадлежащая нейтрализация разделителей записей. Разделитель записей IPC не экранировался, поэтому подготовленная ссылка tg:// с точкой с запятой могла подсунуть служебному обработчику лишние команды, в том числе записи OPEN:, и обойти ожидаемую логику клиента.

Клик по такой ссылке шёл через обработчик interpret:. С его помощью злоумышленник мог отправить файлы с компьютера в свой канал, среди них ключи сессии tdata. По описанию уведомления, это открывает путь к захвату аккаунта.

По вектору CVSS атака удалённая и требует действия пользователя, который открывает ссылку. Самые высокие оценки у последствий для конфиденциальности и целостности (VC:H и VI:H), влияние на доступность нулевое (VA:N). Уязвимы все сборки Telegram Desktop от 0 до 7.2.9.

Автором находки в уведомлении указан Эмилиано Версини. Исправление вошло в версию 7.2.9. В уведомлении есть ссылки на разбор под названием Telegram Desktop one-click account takeover и на патч-коммит.

Изображение:

Редакторы перевода: Соловьев В., Пеков А.