CVE-2026-73031

telegram-search (لم يتم تحديد الإصدارات المتأثرة)

توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة تتيح للمهاجمين عن بُعد تنفيذ تعليمات جافا سكريبت تعسفية في متصفحات المستخدمين الآخرين. ويحدث ذلك عند إرسال رسائل مُصممة خصيصًا تحتوي على كود HTML غير مُعقَّم إلى مجموعة مشتركة على Telegram. وعلى وجه التحديد، تقوم الدالة highlightKeyword() في ملف MessageList.vue بتمرير محتوى الرسالة الخام مباشرةً إلى v-html دون إجراء عملية الهروب (escaping) أو التنقية (sanitization) المناسبة لرموز HTML. وهذا يتيح تنفيذ الحمولات المُحقنة دون الحاجة إلى النقر (zero-click)، مثل معالجات onerror للصور، عندما يتصفح الضحايا الرسائل أو يبحثون عنها.

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.