Die Schwachstelle steckt in der Grafikbibliothek rlottie, die Telegram zur Darstellung animierter Inhalte nutzt. Ursache ist eine numerische Verkürzung: Vom Nutzer stammende Daten werden nicht ausreichend geprüft, wodurch beim Verarbeiten ein Schreibzugriff noch vor dem Beginn eines reservierten Speicherbereichs erfolgt. Diese Speicherverletzung lässt sich so steuern, dass eingeschleuster Code im Kontext des laufenden Prozesses ausgeführt wird – der Angreifer erhält damit dieselben Rechte wie die Anwendung selbst. Der Angriff ist aus der Ferne möglich, setzt aber eine Mitwirkung des Opfers voraus: Es muss eine präparierte Seite aufrufen oder eine manipulierte Datei öffnen. Typischer Angriffsweg ist damit ein speziell gestalteter animierter Inhalt, der dem Ziel zugesandt oder untergeschoben wird. Betroffen sind Installationen von Telegram, in denen die verwundbare Bibliothek zum Einsatz kommt.