Медленный туман предупреждение о риске наличия вредоносного кода в функции встраивания чата Telegram

Основатель Slow Mist Ю Сян опубликовал предупреждение о том, что новая версия Telegram поддерживает прямую интеграцию интерактивных приложений в сообщения чата. Соответствующая функция использует QuickJS для выполнения JavaScript, что может увеличить риск атак с использованием вредоносного кода, поэтому пользователям рекомендуется осторожно обновляться.

Telegram официально представил эту функцию в Bot API 10.4, выпущенном 9 ноября. Несмотря на то, что официально предоставлены песочница QuickJS и ограничения на доступ в сеть, недавние исследования безопасности показали, что в соответствующем движке выполнения ранее существовала уязвимость удаленного выполнения кода, которая могла бы обойти изоляцию песочницы.