Luka w Telegram Desktop pozwalała botom ukryć skrypt w eksporcie czatu do HTML

Telegram Desktop, aplikacja na Windows, macOS i Linuksa, zapisywała w eksporcie HTML tekst przycisków bota bez zamiany znaków specjalnych, takich jak <, na zwykły tekst. Badacze z ExPatch, Denis Rostilov i Aleksander Rostilov, opisali 12 września, jak bot mógł wpisać w przycisk znacznik script i zamaskować go niewidocznymi znakami. W Telegramie wiadomość wyglądała zwyczajnie, a bot nie musiał należeć do czatu, który atakował.

Skrypt uruchamiał się bez dodatkowego kliknięcia, gdy ktoś otworzył plik eksportu w przeglądarce. Mógł wtedy wysłać wszystkie wiadomości z pliku na serwer napastnika albo zmienić wyświetlaną treść. Badacze zgłosili błąd 3 czerwca, a Telegram wydał poprawkę w lipcu. W ich opisie nie ma informacji, że ktoś wykorzystał lukę przeciwko prawdziwym użytkownikom.

Aktualizacja aplikacji nie naprawia plików wyeksportowanych wcześniejszymi wersjami. Wiadomość zostaje w historii czatu, dopóki ktoś jej nie usunie, więc może trafić do eksportu nawet po miesiącach. Stare eksporty HTML nadal mogą zawierać skrypt.