Telegram Desktop: уязвимость позволяет кражу файлов через tg:// ссылки

Обнаружили ошибку в Telegram Desktop, которая позволяет злоумышленнику получить доступ к файлам после перехода по специально сформированной ссылке tg://.

Уязвимость получила идентификатор CVE‑2026‑107181. Проблема в том, что при разборе ссылки символ «;» не экранируется, и параметры воспринимаются как отдельные команды, которые клиент без подтверждения может выполнить.

Такой запрос может заставить программу отправить любые файлы: из каталога tdata, документы, SSH‑ключи, конфиги и файлы криптокошельков.

Снизить риск просто – обнови Telegram Desktop минимум до версии 7.2.9. Если ты пользуешься неофициальным клиентом, переключись на официальную сборку, пока не появятся патчи.

До обновления будь осторожен с tg:// ссылками, проверяй адреса и включи локальный код‑пароль в настройках – он защищает данные, но не заменяет обновление.