آسیب پذیری CVE-2026-107181 در اپلیکیشن تلگرام دسکتاپ (Telegram Desktop) امکان تزریق رکورد در سازوکار ارتباطات بین پردازه ای (IPC) و خواندن فایل های دلخواه از سیستم قربانی را برای مهاجم فراهم می‌کند. مهاجم با فریب کاربر برای کلیک روی یک لینک مخرب و سوءاستفاده از نحوه پردازش ورودی ها در IPC و URI Scheme اختصاصی اپلیکیشن با نام interpret: می‌تواند فایل های لوکال، از جمله اطلاعات احراز هویت نشست تلگرام را استخراج کرده و داده‌های استخراج‌شده را به یک گفت‌وگوی تلگرامی تحت کنترل مهاجم ارسال کند. این حمله علاوه بر افشای اطلاعات حساس، می‌تواند منجر به سرقت نشست و دسترسی غیرمجاز به حساب کاربری قربانی شود.
یک آسیب‌پذیری از نوع XSS ذخیره‌شده (Stored XSS) در ابزار oRPC و در فرآیند تولید مستندات OpenAPI شناسایی شده است. در این ضعف امنیتی، داده‌های مربوط به مشخصات OpenAPI (Specification) هنگام تولید صفحه مستندات، از طریق تابع JSON.stringify() بدون انجام خروجی‌سازی مناسب مستقیماً در HTML قرار می‌گیرند.
آسیب پذیری CVE-2026-107181 در اپلیکیشن تلگرام دسکتاپ (Telegram Desktop) امکان تزریق رکورد در سازوکار ارتباطات بین پردازه ای (IPC) و خواندن فایل های دلخواه از سیستم قربانی را برای مهاجم فراهم می‌کند. مهاجم با فریب کاربر برای کلیک روی یک لینک مخرب و سوءاستفاده از نحوه پردازش ورودی ها در IPC و URI Scheme اختصاصی اپلیکیشن با نام interpret: می‌تواند فایل های لوکال، از جمله اطلاعات احراز هویت نشست تلگرام را استخراج کرده و داده‌های استخراج‌شده را به یک گفت‌وگوی تلگرامی تحت کنترل مهاجم ارسال کند. این حمله علاوه بر افشای اطلاعات حساس، می‌تواند منجر به سرقت نشست و دسترسی غیرمجاز به حساب کاربری قربانی شود.
یک آسیب‌پذیری از نوع XSS ذخیره‌شده (Stored XSS) در ابزار oRPC و در فرآیند تولید مستندات OpenAPI شناسایی شده است. در این ضعف امنیتی، داده‌های مربوط به مشخصات OpenAPI (Specification) هنگام تولید صفحه مستندات، از طریق تابع JSON.stringify() بدون انجام خروجی‌سازی مناسب مستقیماً در HTML قرار می‌گیرند.
