![](data:image/svg+xml;charset=utf-8,<svg width="640" height="640" style="background-color:%2344badc;font-family:Nunito,sans-serif" viewBox="0 0 100 100" preserveAspectRatio="xMidYMid meet" xmlns="http://www.w3.org/2000/svg">
<text font-size="30" x="50%" y="50%" dy="5" fill="white" dominant-baseline="middle" text-anchor="middle">xs</text>
</svg>)
Forward from: Rosmontis's Daily🔆
Video is unavailable for watching
Show in Telegram
⚠️⚠️⚠️⚠️警告⚠️⚠️⚠️⚠️
*Telegram大概于 UTC+8 2024年4月12日18:25，在服务端进行了修复，pyzw文件后会有untrusted的标记。
Telegram Desktop版本远程代码执行漏洞已被确认
危害程度极高，建议用户根据文章建议关闭自动下载功能
▎情况介绍
・4月9日
一条视频宣称Telegram Desktop客户端有漏洞，能轻松实现远程代码执行恶意攻击
当日，Telegram 称无法确认 Desktop 版本远程代码执行漏洞
・4月12日
笔者发现，Telegram Desktop Github库下一条PR中提到一个Bug，能通过某种方式发送pyzw格文件，Telegram会将其识别为视频文件，实现伪装视频效果，且客户端默认设置条件下，会自动下载文件，用户看到后常常会下意识点击执行，攻击生效。
前置条件: Telegram Desktop Windows
*Telegram大概于 UTC+8 2024年4月12日18:25，在服务端进行了修复，pyzw文件后会有untrusted的标记。
Telegram Desktop版本远程代码执行漏洞已被确认
危害程度极高，建议用户根据文章建议关闭自动下载功能
▎情况介绍
・4月9日
一条视频宣称Telegram Desktop客户端有漏洞，能轻松实现远程代码执行恶意攻击
当日，Telegram 称无法确认 Desktop 版本远程代码执行漏洞
・4月12日
笔者发现，Telegram Desktop Github库下一条PR中提到一个Bug，能通过某种方式发送pyzw格文件，Telegram会将其识别为视频文件，实现伪装视频效果，且客户端默认设置条件下，会自动下载文件，用户看到后常常会下意识点击执行，攻击生效。
前置条件: Telegram Desktop Windows