O problema estava relacionado ao tratamento de conteúdos incorporados às mensagens durante o processo de exportação. Um invasor poderia preparar uma mensagem especialmente manipulada para que o código fosse incluído no arquivo HTML gerado pelo aplicativo.
Ao abrir a conversa exportada em um navegador, o usuário poderia executar o script sem perceber. Dependendo do conteúdo malicioso e das condições do ambiente, isso poderia comprometer informações acessíveis à página ou provocar outras ações indesejadas.
A correção no Telegram Desktop impede que novas exportações reproduzam o comportamento vulnerável. Entretanto, ela não modifica automaticamente os arquivos HTML criados anteriormente, que podem continuar contendo códigos maliciosos.
Por esse motivo, usuários que armazenam históricos exportados devem evitar abrir arquivos antigos de origem desconhecida ou suspeita. A recomendação é atualizar o aplicativo e gerar novamente as exportações necessárias, descartando as versões anteriores quando possível.
O caso demonstra que arquivos HTML aparentemente estáticos também podem representar riscos de segurança. Mesmo após a correção de um aplicativo, documentos produzidos durante o período vulnerável podem permanecer perigosos.
