Latest / RESEARCH / STORED XSS
Telegram DesktopのチャットHTMLエクスポートに保存型XSS — ボットが仕込んだ不可視のスクリプトが、書き出したHTMLファイルを開いた瞬間にメッセージを外部送信（修正版はv7.0.1）
セキュリティ研究グループのExPatchは2026年9月12日、Telegramのデスクトップ版クライアント「Telegram Desktop」のチャットHTMLエクスポート（書き出し）機能に、保存型クロスサイトスクリプティング（XSS）の脆弱性があったと公表した。攻撃者が用意したボットは対象グループへ参加する必要がなく、転送された1通のメッセージをきっかけに、書き出したHTMLファイルの中へ不可視のスクリプトを忍ばせられる。利用者がそのファイルをブラウザーで開くと、ファイルに表示されるメッセージが外部へ送信される。ExPatchによると、この脆弱なコードは約2年4カ月にわたり製品コードに存在し、2026年7月のコミット8457d13aで修正された。ベータ版v6.9.4と安定版v7.0.1以降に修正が含まれる。CVEは採番されていない。