Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

EXPLOIT PÚBLICO

CVE-2026-107181 Inyección de registros IPC y exfiltración de archivos en Telegram Desktop

Telegram Desktop antes de 7.2.9 contiene una vulnerabilidad de inyección de separadores de registros IPC en Core::Sandbox que permite a atacantes remotos inyectar registros OPEN: mediante enlaces tg:// manipulados con punto y coma sin escapar. Los atacantes pueden alcanzar el manejador del esquema interpret: para subir archivos locales, incluidas las claves de sesión de tdata, a un canal del atacante, lo que permite la toma de control de la cuenta.

Alerta de Nureq Monitor

Detectada 10 OCT · 04:38Última novedad 13 OCT · 23:01

CVSS 3.1

8.1ALTA

CVSS 4.0

8.6 ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,3 % PERCENTIL 27

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

Sí 2 REPOSITORIOS

Qué es CVE-2026-107181

Telegram Desktop antes de 7.2.9 contiene una vulnerabilidad de inyección de separadores de registros IPC en Core::Sandbox que permite a atacantes remotos inyectar registros OPEN: mediante enlaces tg:// manipulados con punto y coma sin escapar. Los atacantes pueden alcanzar el manejador del esquema interpret: para subir archivos locales, incluidas las claves de sesión de tdata, a un canal del atacante, lo que permite la toma de control de la cuenta.

Productos y versiones afectadas

  • Telegram Telegram Desktop

    • hasta antes de 7.2.9

Qué hacer

  1. Verificá si usás Telegram Desktop y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
  4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 3.1 · 8.1 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Requerida
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Alta
DISPONIBILIDAD (A)
Ninguna

CVSS 4.0 · 8.6 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
REQUISITOS DEL ATAQUE (AT)
Ninguno
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Pasiva
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
Alta
INTEGRIDAD (SISTEMA VULNERABLE) (VI)
Alta
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
Ninguna

Abrir la calculadora completa

Descripción original

Telegram Desktop before 7.2.9 contains an IPC record-separator injection vulnerability in Core::Sandbox that allows remote attackers to inject OPEN: records via crafted tg:// links containing unescaped semicolons. Attackers can reach the interpret: scheme handler to upload local files, including tdata session keys, to an attacker channel, enabling account takeover.

Referencias

Historial de la alerta

  1. EXPLOIT PÚBLICO Se publicó el repositorio SeanDishman/telegram-cve-2026-107181.
  2. EXPLOIT PÚBLICO Se publicó el repositorio 00nx/telegram-account-takeover-poc.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.