یک آسیب‌پذیری امنیتی از نوع Cross-site Scripting (XSS) در نسخه‌های قدیمی Telegram Desktop شناسایی شده است که امکان اجرای کدهای مخرب در مرورگر کاربر را فراهم می‌کند. این نقص امنیتی که با شناسه CVE-2026-94488 ثبت شده و دارای امتیاز 8.3 (High) است، در بخش خروجی HTML (HTML Exporter) این اپلیکیشن رخ می‌دهد.
جزئیات فنی آسیب‌پذیری
این مشکل به دلیل عدم پاک‌سازی (Escape) مناسب متون مربوط به دکمه‌های inline-keyboard در هنگام خروجی گرفتن از چت‌ها به فرمت HTML ایجاد شده است. در نتیجه، اگر یک مهاجم متنی مخرب را در کپشن دکمه‌ها قرار دهد، این کدها به‌صورت مستقیم در فایل HTML تولید شده نوشته می‌شوند و هنگام باز کردن فایل توسط کاربر در مرورگر، به عنوان یک اسکریپت اجرا می‌گردند.
سناریوی حمله
- مهاجم یک پیام حاوی کد XSS را طراحی کرده و آن را به یک گروه فوروارد می‌کند (نیازی نیست مهاجم عضو گروه باشد).
- کاربر هدف که عضو آن گروه است، از قابلیت HTML export برای ذخیره تاریخچه چت‌ها استفاده می‌کند.
- پس از باز کردن فایل HTML ذخیره شده در مرورگر، کد مخرب در محیط مرورگر کاربر اجرا می‌شود.
با وجود اینکه این حمله نیازمند تعامل کاربر (User Interaction) و استفاده از قابلیت Export است، اما به دلیل ماهیت S:C (تغییر محدوده اثرگذاری به مرورگر)، ریسک امنیتی قابل توجهی ایجاد می‌کند. البته به دلیل اجرای فایل در پروتکل file://، دسترسی‌های مهاجم به فایل‌های سیستم محدود است.
راهکار مقابله و رفع مشکل
برای رفع این آسیب‌پذیری، کاربران باید فوراً نسخه Telegram Desktop خود را به 6.9.4 یا نسخه‌های جدیدتر (ترجیحاً نسخه 7.0.1 که نسخه پایدار اصلاح شده است) به‌روزرسانی کنند. مدیران امنیت در سازمان‌ها توصیه می‌شوند تمامی نسخه‌های نصب شده در سیستم‌های کاری را شناسایی و به‌روزرسانی نمایند.
