CVE-2025-67720 in pyrofork
Riassunto
di VulDB • 19/06/2026
Pyrofork è un framework moderno e asincrono per l'API MTProto. Le versioni 2.3.68 e precedenti non sanzionano correttamente i nomi dei file ricevuti dai messaggi di Telegram nel metodo download_media prima di utilizzarli nella costruzione del percorso del file. Durante il download dei contenuti multimediali, se l'utente non specifica un nome di file personalizzato (che è l'utilizzo comune/predefinito), il metodo utilizza come fallback l'attributo file_name dall'oggetto multimediale. L'attributo proviene da DocumentAttributeFilename di Telegram ed è controllato dal mittente del messaggio. Questo problema è stato risolto nella versione 2.3.69.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.