8.3
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се локално, без особени условия, без вход и след действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Telegram Desktop before 6.9.4 allows XSS in the HTML exporter. (The first fixed stable version is 7.0.1.) This occurs in button.text.toUtf8 in export_output_html.cpp. Exploitation cannot occur unless HTML export was used by a victim. However, the exploit payload can be exported if a message were forwarded into a group by a member (it is not necessary for the message author to be a member of a group).
Засегнати продукти
- Telegram Telegram Desktop: 4.15.1 преди 6.9.4
Вид слабост
История
- 21 септември 2026 Публикувано
Други уязвимости в Telegram Telegram Desktop
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-94488
- https://nvd.nist.gov/vuln/detail/CVE-2026-94488
- https://github.com/telegramdesktop/tdesktop/commit/8457d13aa795fadf99c955d2a04f00ebc3c59df9
- https://github.com/telegramdesktop/tdesktop/commit/52c779bffa8dde3c5c09826add2607328fae0924
- https://github.com/telegramdesktop/tdesktop/releases/tag/v6.9.4
- https://github.com/telegramdesktop/tdesktop/blob/v6.9.3/Telegram/SourceFiles/export/output/export_output_html.cpp
- https://expatch.com/writeups/telegram-html-export-xss.html
- https://thehackernews.com/2026/09/telegram-desktop-flaw-lets-hidden.html