I ricercatori hanno scoperto una vulnerabilità in Telegram Desktop che permetteva di inserire in modo furtivo codice JavaScript nei file HTML in cui viene esportata la cronologia delle chat. Lo script si attivava all’apertura della chat salvata nel browser, permettendo di rubare i messaggi della vittima o di alterare il contenuto della pagina.

Il problema è stato rilevato dai ricercatori Denis Rostilov e Aleksandr Rostilov, che spiegano che la causa del bug è stata l’elaborazione scorretta dei pulsanti inline che i bot possono aggiungere sotto i propri messaggi.

Il fatto è che durante l’esportazione della chat, Telegram Desktop convertiva in codice HTML i caratteri speciali nei testi dei messaggi, nei nomi degli utenti e in altri campi, ma non lo faceva per il testo dei pulsanti inline. Grazie a ciò, un bot poteva inserire un tag script con codice JavaScript, mascherandolo con caratteri invisibili.

I ricercatori sottolineano che al bot degli attaccanti non era necessario essere presente nel gruppo di destinazione: se il messaggio conteneva solo pulsanti con link, questi venivano salvati durante l’inoltro. Pertanto, qualcuno poteva inoltrare un messaggio preparato appositamente dal bot nella chat desiderata, e questo poteva essere conservato nella cronologia per anni, in attesa del suo momento e di essere incluso nell’esportazione.

Quando l’utente apriva l’HTML dell’esportazione della chat nel browser con JavaScript abilitato, il codice dannoso si eseguiva automaticamente. Lo script otteneva accesso a tutti i messaggi in quel file, inclusi i nomi dei mittenti, i timestamp, il nome e il tipo di chat, il numero di partecipanti e il percorso locale del file. Tutti questi dati potevano essere trasmessi al server degli attaccanti.

Va notato che Telegram Desktop divide le esportazioni grandi in file da 1000 messaggi, quindi il codice dannoso poteva accedere solo al contenuto di un file specifico.

Oltre a ciò, lo script permetteva di modificare il contenuto visualizzato nell’esportazione. Ad esempio, nella dimostrazione, i ricercatori hanno completamente sostituito la pagina con un falso modulo di “verifica” per Telegram. Allo stesso modo, era possibile sostituire i testi dei messaggi, le date e i nomi dei mittenti. Nel frattempo, la cronologia originale in Telegram e lo stesso file HTML salvato non venivano modificati.

I ricercatori hanno valutato il problema con 8,2 punti sulla scala CVSS, ma questa vulnerabilità non ha ancora un identificatore CVE e gli sviluppatori di Telegram non hanno pubblicato un bollettino di sicurezza separato.

La vulnerabilità era presente in Telegram Desktop a partire dalla versione 4.15.1, rilasciata a marzo 2024, e persisteva fino alla 6.9.3. La correzione è apparsa per la prima volta nella versione beta 6.9.4 del 3 luglio 2026 ed è passata alla versione stabile 7.0.1 il 14 luglio.

Denis e Aleksandr hanno notificato al team di Telegram il problema già il 3 giugno 2026, e il 1 luglio Telegram ha confermato il problema e offerto un premio di 500 dollari USA.

I ricercatori hanno rifiutato il pagamento e hanno chiesto di devolvere i soldi in beneficenza, oltre a proporre agli sviluppatori di concordare una data per la divulgazione pubblica del bug. Tuttavia, Telegram ha risposto che non può approvare la divulgazione pubblica nemmeno delle vulnerabilità già corrette, poiché i malintenzionati potrebbero utilizzare tali informazioni per attaccare gli utenti.

Gli esperti hanno considerato ciò un divieto nella pubblicazione, ma il loro rapporto non rientrava in alcun accordo di non divulgazione (NDA) e la patch era già stata rilasciata da molto tempo, quindi nel fine settimana scorso hanno reso pubblico il loro studio.

Si sottolinea inoltre che l’aggiornamento del client non disattiva i file HTML precedentemente creati, che teoricamente potrebbero contenere codice dannoso.

L'articolo Vulnerabilità in Telegram: come inserire JavaScript negli HTML dei chat export proviene da Red Hot Cyber.