Кнопка с сюрпризом превратила экспорт Telegram Desktop в XSS-ловушку
2026-09-17
Investigadores de ExPatch descubrieron una vulnerabilidad de tipo XSS (inyección de código en sitios web) en la función de exportación a HTML de Telegram Desktop. El problema ocurre porque el programa no limpia correctamente el texto de los botones de los teclados integrados al generar el archivo de exportación, permitiendo que un atacante inserte código malicioso mediante un bot.
Para que el ataque funcione, se deben cumplir tres condiciones: que el mensaje con el botón malicioso esté incluido en la exportación, que se haya usado una versión vulnerable de Telegram Desktop para crear dicho archivo y que el usuario abra el archivo HTML resultante en un navegador con JavaScript activado. Una vez abierto, el código puede leer nombres de remitentes, fechas, mensajes y metadatos, o incluso mostrar formularios falsos para robar credenciales (phishing).
El fallo fue corregido por los desarrolladores en la versión estable 7.0.1 de Telegram Desktop, lanzada el 14 de julio de 2026. Sin embargo, actualizar la aplicación no limpia los archivos de chat que ya fueron exportados anteriormente; esos archivos viejos seguirán siendo peligrosos si contienen el código malicioso.
Los investigadores señalaron que el ataque es particularmente astuto porque un bot puede enviar un mensaje con el botón preparado y, aunque este sea reenviado a otros chats, el código malicioso permanece oculto en el historial, esperando a que alguien exporte la conversación.
Qué significa para una pyme colombiana y cucuteña: Si usted suele descargar copias de seguridad de sus chats de Telegram para tener un respaldo de sus conversaciones de negocio, tenga cuidado. Primero, actualice su Telegram Desktop a la versión 7.0.1 o superior inmediatamente. Segundo, si tiene archivos de exportación en HTML creados con versiones antiguas, no los abra en su navegador; lo más seguro es borrarlos y volver a generar la exportación con la versión ya actualizada para asegurar que el contenido esté limpio.