PoC expone falla en Telegram Desktop que permite el secuestro de cuentas con un solo clic

Una prueba de concepto pública ha expuesto una falla en Telegram Desktop que podría permitir a los atacantes robar archivos locales y hacerse cargo de las cuentas después de que un usuario haga clic en un enlace externo diseñado. Seguida como CVE-2026-107181, la vulnerabilidad afecta a las versiones anteriores a la 7.2.9 y tiene una clasificación de gravedad CVSS 4.0 de 8.6 (Alta).

Cuando Telegram ya se está ejecutando, otra instancia pasa el enlace a través de un canal de comunicación local, conocido como comunicación entre procesos o IPC. Un atacante podría colocar el personaje dentro de un enlace diseñado y hacer que Telegram lea parte del enlace como otro comando. PoC liberado para la falla de escritorio de Telegram Según la investigación de ThreatWire, el comando inyectado podría acceder a un ayudante interno obsoleto diseñado para la publicación de lanzamientos. El ayudante podría leer archivos locales y enviarlos a un chat sin comprobaciones de permisos ni confirmación del usuario.

Los informes anteriores sobre el secuestro de cuentas de Telegram a través del correo de voz muestran otra ruta hacia la pérdida de la cuenta, pero ese método es independiente de esta vulnerabilidad de escritorio. Los enlaces en los que se hace clic dentro de Telegram siguen una ruta de procesamiento diferente y no se ven afectados.

Consultar publicación original ↗