Un fallo de seguridad en Telegram Desktop permite a los atacantes realizar el robo de cuentas de los usuarios con un solo clic, explotando una inyección de comandos en el sistema de comunicación local. La vulnerabilidad, identificada como CVE-2026-107181, afecta a la versión 7.2.8 y se corrigió en la 7.2.9. El problema surge porque Telegram no valida los caracteres de separación en los enlaces enviados a sus instancias ya ejecutadas, lo que permite a un atacante inyectar comandos maliciosos en el flujo de datos. Al hacer clic en un enlace malicioso, el sistema deserializa el texto y ejecuta instrucciones no autorizadas, incluyendo la lectura de archivos arbitrarios del disco duro. Esta función, diseñada originalmente para publicar actualizaciones de software, no verifica la identidad del usuario ni solicita confirmación antes de transferir los datos a un canal controlado por el atacante. La combinación de la inyección de comandos y la falta de autorización en la función interpret: permite exfiltrar credenciales de inicio de sesión y otros datos sensibles sin que el usuario sea consciente de la amenaza. El impacto es crítico, ya que permite a los atacantes acceder a la información privada de las víctimas mediante enlaces aparentemente benignos.
Noticias agregadas con IA