В Telegram Desktop нашли уязвимость с выполнением JavaScript в HTML-файлах

Исследователи ExPatch Vulnerability Research Денис и Александр Ростиловы обнаружили уязвимость в Telegram Desktop, которая позволяет боту внедрять JavaScript-код в экспортируемые HTML-файлы чатов. Проблема в том, что текст кнопок клавиатуры не очищался перед записью в файл, в отличие от остального содержимого сообщений.

Злоумышленник может создать сообщение с вредоносным скриптом внутри кнопки, который выполнится при открытии экспортированного файла и раскроет сообщения и метаданные. Telegram исправил уязвимость в июле, но HTML-файлы, созданные старыми версиями, остаются опасными даже после обновления приложения.