🤨 А что происходит?

Павел Дуров* несколько дней подряд оставляет без комментария тему взломов приложений Telegram, уделяя внимание ситуации вокруг Дженсена Хуанга и шуткам про шпионок.

Тем временем уязвимость в новых HTML-виджетах Telegram, как выяснилось, пряталась не в самом мессенджере, а в собственном форке движка QuickJS. Из-за ошибки с циклами код виджета мог выйти из песочницы и выполниться на любом девайсе — не только на Android.

К счастью, ошибку всё же нашли, прогнав весь движок через Claude: в отчёте 27 находок. Исправление вошло в актуальные апдейты Telegram. Как устроена уязвимость:

↖️ https://kod.ru/telegram-quickjs-uyazvimost-vidzhety

* внесён в перечень террористов и экстремистов Росфинмониторинга