CVE-2026-94488 in Telegram
Resumen
por VulDB • 2026-09-21
Telegram Desktop anterior a la versión 6.9.4 permite una inyección de código HTML (XSS) en el exportador de HTML. (La primera versión estable corregida es la 7.0.1). Esto ocurre en `button.text.toUtf8` dentro del archivo `export_output_html.cpp`. La explotación no puede ocurrir a menos que se haya utilizado la función de exportación de HTML por parte de una víctima. Sin embargo, el payload del exploit puede ser exportado si un mensaje es reenviado a un grupo por un miembro (no es necesario que el autor del mensaje sea miembro de dicho grupo).
Once again VulDB remains the best source for vulnerability data.