一次点击，TG桌面端把用户文件拱手让人

想象一下：你随手点开别人发来的一个文件，下一秒整个本地文件夹就被端走了。这不是科幻桥段，而是真实曝出的Telegram Desktop漏洞——安全研究者发现，攻击者可以利用该漏洞窃取任意用户的本地文件，甚至一键实现账户接管。说白了，Telegram桌面端在文件处理上存在严重的信任缺陷：它默认用户会毫无防备地打开陌生人发来的内容，然后就这么放任不管。我的判断很直接：当一款日活数亿的应用把文件访问权限简化成一次点击，它就是在拿所有人的隐私赌命。补丁能堵一时，但底层架构的安全债，迟早要有人替用户买单。

原文：Telegram Desktop vulnerability allowed any user's file to be stolen · 来源：Hacker News