PT-2024-25540 · Telegram · Telegram Web K

Pedro Batista · Publicado 2024-04-28 · Atualizado 2024-07-03 · CVE-2024-33905

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.6

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Telegram WebK anteriores à 2.0.0 (488)

Descrição

Uma falha de Cross-Site Scripting (XSS) no Telegram WebK permite que invasores obtenham acesso total à conta, colocando em risco dados e carteiras de criptomoedas. O problema tem origem no sistema de Mini Apps e pode ser explorado por meio de uma Mini Web App maliciosa utilizando o tipo de evento postMessage web app open link.

Recomendações

Para versões anteriores à 2.0.0 (488), atualize o aplicativo web para a versão 2.0.0 (488) ou posterior para proteção. Como solução temporária, considere restringir o uso de Mini Web Apps até que a atualização seja aplicada.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-33905

Produtos afetados

Telegram Web K

Referências · 10

• https://github.com/morethanwords/tweb/commit/2153ea9878668769faac8dd5931b7e0b96a9f129/src/components/popups/webApp.ts · Nota
• https://twitter.com/vulmoncom/status/1785001777231794192 · Publicação no Twitter
• https://medium.com/%40pedbap/telegram-web-app-xss-session-hijacking-1-click-95acccdc8d90 · Nota
• https://t.me/cvenotify/78321 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-33905 · Nota de Segurança
• https://twitter.com/socradar/status/1784966610551234579 · Publicação no Twitter
• https://openwall.com/lists/oss-security/2024/04/28/4 · Nota
• http://openwall.com/lists/oss-security/2024/04/30/4 · Nota
• https://twitter.com/socradar/status/1784966529143951494 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1784823100695343189 · Publicação no Twitter