Telegram 桌面版单实例 IPC 注入可致一键账号接管

📋 概述

安全研究者披露 Telegram Desktop 的一条攻击链，影响 7.2.8 及更早版本，并在 Windows 6.9.3 上确认。桌面版把点击的链接通过本地套接字交给已在运行的实例，指令以「关键字 参数 分号」的文本格式序列化，却没有转义作为分隔符的分号，于是一个构造链接会被拆成多条指令；注入的命令指向内部 URI 方案 interpret:，它会读取指令文件里指定的文件并发到某个聊天，既不校验请求者也不需要确认。两者叠加使一次点击变成任意本地文件读取，并可窃取登录会话文件完成账号接管。CVE-2026-107181，评级 8.1 High，已在 7.2.9 修复。