پژوهشگران امنیتی شرکت ExPatch از شناسایی یک آسیب‌پذیری در تلگرام دسکتاپ (Telegram Desktop) خبر دادند که به بات‌ها (Bot) اجازه می‌داد کد مخفی جاوااسکریپت (JavaScript) را در پیام خود قرار دهند. این کد پس از ارسال پیام در تاریخچه چت باقی می‌ماند و هنگام ذخیره چت به‌صورت فایل HTML، به این فایل نیز منتقل می‌شد. این پیام در تلگرام کاملاً عادی به نظر می‌رسید و تنها یک لینک قابل کلیک داشت؛ اما کد مخفی آن زمانی قابل اجرا بود که کاربر فایل HTML را در یک مرورگر وب باز می‌کرد. این کد در صورت اجرا می‌توانست تمام پیام‌های موجود در فایل را به سرور تحت کنترل مهاجم ارسال کند یا محتوای نمایش‌داده‌شده در صفحه را تغییر دهد. تلگرام در ماه جولای با انتشار یک پچ امنیتی، این آسیب‌پذیری را برطرف کرد؛ بااین‌حال، فایل‌های HTML ایجادشده با نسخه‌های قدیمی تلگرام دسکتاپ همچنان ممکن است کد مخفی را در خود داشته باشند.