Celah XSS di Telegram Desktop: Ancaman Pencurian Riwayat Chat yang Diekspor

Mengenal Telegram Desktop dan Fitur Ekspor Chat

Telegram Desktop adalah aplikasi pesan instan populer yang memungkinkan pengguna berkomunikasi melalui komputer. Salah satu fiturnya adalah kemampuan untuk mengekspor riwayat chat ke dalam format HTML. Fitur ini sering digunakan untuk keperluan arsip, audit, atau investigasi, di mana data percakapan lokal diubah menjadi file HTML yang dapat dibaca oleh browser web.

Terungkapnya Kerentanan XSS pada Fitur Ekspor HTML

Peneliti keamanan Denis Rostilov dan Aleksander Rostilov dari ExPatch Vulnerability Research menemukan kerentanan Cross-Site Scripting (XSS) yang tersimpan di Telegram Desktop. Celah ini memungkinkan penyerang untuk menyematkan kode berbahaya dalam tombol keyboard inline. Ketika riwayat chat yang mengandung tombol ini diekspor ke HTML dan dibuka di browser, kode berbahaya tersebut dapat dieksekusi.

Detail Teknis Kerentanan dan Mekanisme Serangan

Kerentanan ini terdapat pada pipeline ekspor HTML Telegram Desktop sebelum versi Beta 6.9.4 dan Stable 7.0.1. Meskipun aplikasi telah melakukan escaping pada teks pesan dan nama pengguna, ia gagal membersihkan teks yang ada di dalam tombol keyboard inline. Akibatnya, HTML yang dikendalikan penyerang, yang ditempatkan dalam tombol inline yang dibuat oleh bot, dapat dirender sebagai markup browser aktif ketika korban membuka file riwayat chat yang diekspor.

Serangan ini tidak dieksekusi di dalam aplikasi Telegram Desktop itu sendiri, melainkan saat pengguna membuka file HTML yang diekspor di browser dengan JavaScript diaktifkan. Bot berbahaya tidak perlu bergabung dengan grup target; cukup mengirim pesan berisi tombol inline berbasis URL ke pengguna lain, yang kemudian dapat diteruskan ke grup target. Konten berbahaya dapat tetap tidak aktif dalam riwayat pesan selama berbulan-bulan hingga proses ekspor dan pembukaan file dilakukan.

Dampak dan Tingkat Keparahan

Jika file ekspor yang terkontaminasi dibuka, JavaScript yang dikendalikan penyerang dapat mengakses konten yang dirender dalam dokumen HTML, termasuk pesan, nama pengirim, stempel waktu, metadata chat, dan jalur file lokal. Script ini juga bisa mengubah konten yang terlihat di halaman, memungkinkan manipulasi riwayat atau overlay phishing yang meniru prompt Telegram. Kerentanan ini dinilai memiliki skor CVSS 3.1 sebesar 8.2 (High) dengan vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N.

Langkah Mitigasi dan Pembaruan

Telegram telah mengatasi masalah ini melalui commit 8457d13a, yang disertakan dalam rilis Beta pada awal Juli 2026 dan rilis stabil pada akhir bulan yang sama. Perbaikan ini menerapkan HTML escaping pada teks tombol inline sebelum ditulis ke halaman yang diekspor. Pengguna sangat disarankan untuk segera memperbarui Telegram Desktop ke versi 7.0.1 atau yang lebih baru pada saluran stabil, atau versi 6.9.4 atau yang lebih baru pada saluran Beta.

Rekomendasi untuk Pengguna dan Organisasi

Pembaruan Telegram Desktop tidak akan memengaruhi file chat yang sudah diekspor. Oleh karena itu, pengguna harus mengekspor ulang percakapan sensitif setelah melakukan pembaruan, atau membuka file ekspor lama dengan JavaScript dinonaktifkan di browser mereka. Organisasi juga harus memperlakukan semua file ekspor HTML sebelum patch sebagai berpotensi tidak aman. Kerentanan ini menjadi pengingat penting bahwa data yang aman dalam antarmuka aplikasi dapat menjadi executable ketika diserialisasikan ke HTML dan dibuka di browser.

Tetap waspada dan selalu perbarui aplikasi Anda untuk menjaga keamanan data. Kunjungi blog Merdeka Siber untuk informasi keamanan siber terbaru.