Критическая уязвимость в десктопном клиенте Telegram Desktop (CVE-2026-107181). Достаточно открыть специально сформированную tg://-ссылку, чтобы с компьютера жертвы ушли файлы в канал атакующего, без окна подтверждения. Доступ к устройству или аккаунту не нужен.
Причина: внутренние команды разделяются символом ;, но при обработке tg://-ссылок он не экранировался. Через него в параметр вписывается команда OPEN: с устаревшей схемой interpret:.
Под угрозой: данные сессии из tdata (вплоть до клонирования аккаунта), документы, конфиги, SSH-ключи, данные криптокошельков.
Исправлено в Telegram Desktop 7.2.9.
Полная статья: https://clck.su/zzxKz
ВКонтакте
MAX