В новых HTML‑виджетах Telegram обнаружили RCE‑уязвимость

Исследователи безопасности V12 продемонстрировали возможность удалённого выполнения кода через новую функцию Telegram — интерактивные HTML‑виджеты, встроенные непосредственно в сообщения. Уязвимость затрагивала Telegram для Android. Разработчики уже выпустили исправление.

Буквально недавно, 9 ноября, Telegram представил Bot API 10.4, разрешив ботам отправлять интерактивные HTML‑виджеты. В отличие от Mini Apps, такие виджеты работают прямо внутри переписки, без открытия отдельного приложения. Они поддерживают HTML, CSS и JavaScript, который исполняется в изолированной среде QuickJS.

И уже 11 ноября исследователи V12 опубликовали демонстрацию с названием Telegram Widgets RCE. На видео пользователь Android запускает бота, получает сообщение с обратным отсчётом, после чего на смартфоне самостоятельно открывается приложение «Калькулятор».