Исследователи обнаружили уязвимость типа Stored XSS в Telegram Desktop, позволявшую исполнять произвольный код при экспорте переписки в HTML-файл. Проблема заключалась в отсутствии экранирования текста inline-кнопок, что позволяло внедрять вредоносные скрипты.
Злоумышленник мог создать бота и отправить сообщение с «отравленной» кнопкой. Благодаря функции пересылки сообщений, код мог попасть в крупные группы, где бот не состоял. Скрипт активировался автоматически в браузере сразу после открытия пользователем файла экспорта.
Вредоносный код мог красть историю сообщений, метаданные и системную информацию, а также подменять содержимое страницы для фишинга. Уязвимости присвоили оценку 8.2 по шкале CVSS 3.1. Она позволяла атакующему получать доступ к данным, которые бот не мог прочитать через API.
Об уязвимости сообщили 3 июня 2026 года. Исправление вошло в коммит 8457d13a и было выпущено в Beta v6.9.4 (3 июля 2026) и Stable v7.0.1 (14 июля 2026). Telegram отказался одобрить публикацию отчета, несмотря на отказ исследователей от вознаграждения в $500.
Пользователям рекомендуется обновить Telegram Desktop и заново экспортировать чаты, так как обновление не затрагивает уже созданные файлы на диске. Официального advisory или номера CVE по данной уязвимости компания не публиковала.
