Una vulnerabilidad en Telegram Desktop permite que un código JavaScript oculto extraiga mensajes de las exportaciones HTML

In­ves­ti­ga­do­res de se­gu­ri­dad des­cu­brie­ron una vul­ne­ra­bi­li­dad en Te­le­gram Desk­top que per­mi­tía a los bots ocul­tar có­di­go Ja­vaS­cript ma­li­cio­so en los bo­to­nes de los men­sa­jes. Cuan­do los usua­rios uti­li­za­ban la fun­ción para ex­por­tar sus con­ver­sa­cio­nes a un for­ma­to HTML, este có­di­go que­da­ba in­te­gra­do sin que la pla­ta­for­ma apli­ca­ra el fil­tra­do de ca­rac­te­res ne­ce­sa­rio. El pro­ble­ma afec­ta­ba a las ver­sio­nes de la apli­ca­ción men­cio­na­das en el re­por­te, per­mi­tien­do que el script se ac­ti­va­ra au­to­má­ti­ca­men­te al abrir el ar­chi­vo ex­por­ta­do en un na­ve­ga­dor web.

Al eje­cu­tar­se el có­di­go ocul­to, este tenía la ca­pa­ci­dad de ex­traer y en­viar los datos del chat a un ser­vi­dor con­tro­la­do por ata­can­tes, ade­más de mo­di­fi­car el con­te­ni­do vi­sual de la pá­gi­na para mos­trar for­mu­la­rios fal­sos o al­te­rar los re­gis­tros. Para que esta ac­ción pu­die­ra lle­var­se a cabo, era ne­ce­sa­rio que el ar­chi­vo HTML pro­ce­die­ra de una ver­sión vul­ne­ra­ble de la apli­ca­ción, in­clu­ye­ra el men­sa­je con el script y se abrie­ra en un na­ve­ga­dor con el so­por­te de Ja­vaS­cript ac­ti­vo.

La com­pa­ñía im­ple­men­tó una so­lu­ción para este fallo me­dian­te una ac­tua­li­za­ción, agre­gan­do el fil­tra­do fal­tan­te en las ver­sio­nes más re­cien­tes de la apli­ca­ción. Sin em­bar­go, los ar­chi­vos ge­ne­ra­dos con ver­sio­nes an­te­rio­res con­ser­van el ries­go, por lo que se re­co­mien­da ac­tua­li­zar la he­rra­mien­ta y rea­li­zar nue­vas ex­por­ta­cio­nes de las con­ver­sa­cio­nes, o bien des­ha­bi­li­tar Ja­vaS­cript al re­vi­sar los do­cu­men­tos an­ti­guos.