CVE-2026-107181

Nome do Software Vulnerável e Versões Afetadas Telegram Desktop versões anteriores a 7.2.9

Descrição Uma falha de injeção de separador de registro IPC existe em Core::Sandbox devido à falha em escapar pontos e vírgulas usados como separadores de comando ao passar links tg:// para uma instância em execução via socket local. Um invasor remoto pode usar links manipulados contendo pontos e vírgulas não escapados para injetar comandos adicionais, visando especificamente o manipulador de esquema interpret:. Este manipulador, um auxiliar interno legado, permite a leitura e o upload não autorizado de arquivos locais arbitrários — incluindo chaves de sessão tdata, sessões de navegador, chaves SSH e carteiras de criptomoedas — para um canal controlado pelo invasor sem a confirmação do usuário. Se nenhuma senha local estiver configurada, o roubo dos arquivos de sessão pode levar ao sequestro total da conta. O ataque foi confirmado no Windows e geralmente requer que a vítima clique em um link externo malicioso enquanto o Telegram já estiver em execução.

Recomendações Atualize o Telegram Desktop para a versão 7.2.9 ou posterior. Ative uma senha local para criptografar os arquivos de sessão no diretório tdata. Configure o aplicativo para perguntar onde salvar cada arquivo recebido. Restrinja convites de grupo apenas a contatos para minimizar a exposição a links maliciosos.