安全研究團隊 ExPatch 近期揭露了 Telegram Desktop（適用於 Windows、macOS 與 Linux 的桌面版應用程式）的一個嚴重安全漏洞。該漏洞允許攻擊者透過 Bot（機器人）發送包含惡意代碼的消息，當使用者將對話紀錄匯出為 HTML 檔案並用瀏覽器開啟時，這些隱藏的 JavaScript 腳本會自動執行，進而將對話內容外洩至攻擊者的伺服器。
背景與問題核心
Telegram Desktop 提供了一項功能，允許使用者將單一對話或整個帳號的紀錄匯出為 HTML 網頁，以便在瀏覽器中離線查看。在 Telegram 的機制中，Bot 可以發送帶有 inline keyboards（內嵌鍵盤）的消息，這些鍵盤由多個按鈕組成，且按鈕上的顯示文字由 Bot 自行定義。
研究人員 Denis Rostilov 與 Aleksander Rostilov 發現，在漏洞修復前，Telegram Desktop 的匯出程式在處理這些按鈕文字時，並未進行適當的 escaping（轉義處理）。轉義處理是指將特殊字元（例如將 < 轉換為 <）轉化為純文字顯示，防止瀏覽器將其誤認為可執行的 HTML 標記或程式碼。由於缺乏此機制，Bot 可以在按鈕文字中植入 script 標籤，並利用不可見字元將按鈕在應用程式介面中偽裝成空白，使用者的對話視窗中看起來毫無異樣，但惡意代碼已悄悄潛伏在對話歷史中。
攻擊路徑與運作方式
此漏洞最危險之處在於其傳播特性。攻擊者不需要直接進入目標對話，只要 Bot 發送的消息包含 Web 連結按鈕，該消息在被其他使用者轉發（Forward）到群組或個人對話時，惡意腳本會隨之傳遞。這意味著一個含有漏洞消息的群組，即使成員並不認識該 Bot，只要有人轉發了該消息，所有後續將該對話匯出為 HTML 的使用者都將面臨風險。
當使用者開啟含有該惡意消息的 HTML 匯出檔時，瀏覽器會自動執行隱藏的 JavaScript 腳本，無需使用者額外點擊任何連結。該腳本具備以下能力：
首先是數據外洩。腳本能讀取該 HTML 檔案內的所有資訊，包括發送者名稱、時間戳記、對話名稱、成員人數以及本地檔案路徑，並將這些數據傳送到攻擊者控制的遠端伺服器。
其次是內容篡改。腳本可以重寫頁面顯示內容。在研究人員的演示中，惡意腳本將整個匯出頁面替換成一個偽造的 Telegram 驗證表單，用以誘騙使用者輸入敏感資訊。此外，若該 HTML 檔案被用作法律或行政紀錄，攻擊者也能透過此手段修改日期、發送者或消息文本，雖然這不會改變 Telegram 伺服器上的原始紀錄，但會誤導查看匯出檔的人。
影響範圍與技術限制
根據 CVSS 3.1 標準，研究人員將此漏洞評分為 8.2 分（高風險）。然而，觸發此攻擊需要滿足三個特定條件：首先，匯出動作必須是在修復版本之前的 Telegram Desktop 上完成；其次，匯出的對話紀錄中必須包含該惡意消息；最後，使用者必須使用啟用了 JavaScript 的瀏覽器開啟該 HTML 檔案。
值得注意的是，由於 Telegram Desktop 的匯出機制會將長對話每 1,000 則消息拆分成一個檔案，因此單一腳本一次最多只能外洩該單一檔案內的內容，無法直接獲取整個帳號的所有對話。此外，研究人員僅針對 HTML 匯出格式進行測試，尚未確認 JSON 匯出格式或其他平台應用程式是否存在相同問題。
修復進度與實務建議
Telegram 已於 2026 年 7 月發布修復程式，將缺失的轉義處理補上。受影響的版本範圍從 4.15.1（2024 年 3 月）一直延伸到 6.9.3。修復版本為 6.9.4 beta（7 月 3 日）以及 7.0.1 正式版（7 月 14 日）。
然而，此漏洞存在一個延遲風險：更新應用程式並不會自動修復之前已經匯出到本地的 HTML 檔案。因此，即便使用者已更新到最新版本，舊的匯出檔依然攜帶惡意腳本。研究人員建議使用者採取以下措施：
第一，立即將 Telegram Desktop 更新至 7.0.1 或更高版本。 第二，對於在修復版本之前匯出的 HTML 檔案，應視為不可信。建議刪除舊檔並重新進行匯出，或者在開啟舊檔時禁用瀏覽器的 JavaScript 功能。 第三，在更新完成前，避免建立新的 HTML 匯出檔。
關於此漏洞的揭露過程，研究人員在 6 月 3 日發現漏洞後立即通知 Telegram。儘管 Telegram 確認了漏洞並提供 500 美元的漏洞賞金（研究人員將其捐給慈善機構），但 Telegram 曾表示不希望公開此問題，擔心會增加用戶風險。最終研究人員在修復程式發布後決定公開此資訊。目前 Telegram 並未在更新日誌中明確提及此修復，且該漏洞尚未獲得 CVE 編號。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。