😈 В новых HTML‑виджетах Telegram обнаружили RCE‑уязвимость

Исследователи продемонстрировали возможность удалённого выполнения кода через новую функцию Telegram — интерактивные HTML‑виджеты, встроенные непосредственно в сообщения

— На видео пользователь Android запускает бота, получает сообщение с обратным отсчётом, после чего на смартфоне самостоятельно открывается приложение «Калькулятор»

Запуск калькулятора — распространённый «культурный» способ продемонстрировать выход за пределы программной песочницы и выполнение произвольного кода

По имеющимся сообщениям, проблема уже устранена.

🧑‍💻 Этичный хакер