Основы Интернет - технологий.

Исследователи обнаружили уязвимость в Telegram Desktop, позволявшую незаметно внедрять jаvascript-код в HTML-файлы, в которые экспортируется переписка в мессенджере. Скрипт срабатывал при открытии сохраненного чата в браузере, позволяя похитить сообщения жертвы или подменить содержимое страницы. Проблему обнаружили исследователи Денис Ростилов и Александр Ростилов, которые рассказывают, что причиной возникновения бага послужила некорректная обработка inline-кнопок, которые боты могут добавлять под своими сообщениями. Дело в том, что при экспорте чата Telegram Desktop экранировал специальные символы в тексте сообщений, именах пользователей и других полях, однако не делал этого для текста на inline-кнопках. Из-за этого бот мог поместить туда тег script с jаvascript-кодом, замаскировав его невидимыми символами, и в результате в самом Telegram такое сообщение не выглядело подозрительным. Исследователи подчеркивают, что боту атакующих было не обязательно присутствовать в целевой группе: если сообщение содержало только кнопки со ссылками, они сохранялись при пересылке. Таким образом, кто-то мог переслать специально подготовленное сообщение бота в нужный чат, и оно могло храниться в истории годами, ожидая своего часа и попадания в экспорт. Когда пользователь открывал HTML-файл с экспортом чата в браузере с включенным jаvascript, вредоносный код запускался автоматически. Скрипт получал доступ ко всем сообщениям в этом файле, включая имена отправителей, временные метки, название и тип чата, количество участников и локальный путь к файлу. Все эти данные в итоге можно было передать на сервер атакующих. Следует отметить, что Telegram Desktop разбивает большие экспорты на файлы по 1000 сообщений, поэтому вредоносный код мог получить доступ только к содержимому конкретного файла. Помимо прочего, скрипт позволял менять отображаемое содержимое экспорта. Так, в своей демонстрации исследователи полностью подменили страницу поддельной формой «верификации» для Telegram. Аналогичным образом можно было подменять тексты сообщений, даты и имена отправителей. При этом оригинальная переписка в Telegram и сам сохраненный HTML-файл не изменялись. Исследователи оценили проблему в 8,2 балла по шкале CVSS, однако идентификатора CVE у этой уязвимости пока нет, и разработчики Telegram не публиковали отдельный бюллетень безопасности. Уязвимость присутствовала в Telegram Desktop, начиная с версии 4.15.1, вышедшей в марте 2024 года, и сохранялась до 6.9.3. Исправление впервые появилось в бета-версии 6.9.4 от 3 июля 2026 года и 14 июля перешло в стабильную версию 7.0.1. Денис и Александр уведомили команду Telegram о проблеме еще 3 июня 2026 года, а 1 июля в Telegram подтвердили проблему и предложили вознаграждение в размере 500 долларов США. Исследователи отказались от выплаты и попросили перечислить деньги на благотворительность, а также предложили разработчикам согласовать дату раскрытия информации о баге. Однако в Telegram ответили, что не могут одобрить публичное раскрытие даже уже исправленных уязвимостей, поскольку злоумышленники якобы могут использовать такую информацию для атак на пользователей. Специалисты сочли это фактическим запретом на публикацию, однако их отчет не подпадал ни под какое соглашение о неразглашении (NDA), а патч уже давно вышел, поэтому в минувшие выходные они обнародовали свое исследование. При этом подчеркивается, что обновление клиента не обезвреживает созданные ранее HTML-файлы, которые теоретически могут содержать вредоносный код. Поэтому исследователи рекомендуют заново экспортировать старые чаты после установки свежей версии Telegram Desktop или открывать прежние экспорты только с отключенным jаvascript. Особенно осторожно следует относиться к архивам больших групп, где сложно проверить происхождение каждого сообщения.