В новых HTML‑виджетах Telegram обнаружили RCE‑уязвимость

Исследователи безопасности V12 продемонстрировали возможность удалённого выполнения кода через новую функцию Telegram — интерактивные HTML‑виджеты, встроенные непосредственно в сообщения. Уязвимость затрагивала Telegram для Android. Разработчики уже выпустили исправление. Буквально недавно, 9 ноября, Telegram представил Bot API 10.4, разрешив ботам отправлять интерактивные HTML‑виджеты . В отличие от Mini Apps, такие виджеты работают прямо внутри переписки, без открытия отдельного приложения. Они поддерживают HTML, CSS и JavaScript, который исполняется в изолированной среде QuickJS. И уже 11 ноября исследователи V12 опубликовали демонстрацию с названием Telegram Widgets RCE. На видео пользователь Android запускает бота, получает сообщение с обратным отсчётом, после чего на смартфоне самостоятельно открывается приложение «Калькулятор». Читать далее