Telegram Desktop остался уязвим из-за новых виджетов В Telegram Desktop 7.4.2, вышедшем 11 ноября, исправили несколько ошибок движка QuickJS, но пропустили патч для уязвимости, которая может привести к выполнению постороннего кода. На Android исправленная версия уже доступна, а для ПК проблема пока не закрыта. Виджеты появились 9 ноября вместе с Bot API 10.4: боты теперь могут отправлять в переписке интерактивные HTML-карточки с опросами, играми и мини-сервисами на JavaScript. Сценарии выполняются в QuickJS, который должен изолировать их от системы. Уязвимость связана с обработкой конструкции await using в определённых циклах. Интерпретатор мог сохранить ссылку на память уже завершённой функции (ошибка типа use-after-return), что при удачной эксплуатации позволяет выполнить нативный код. Разработчики исправили дефект 10 ноября в собственном форке QuickJS (коммит ca3594d), и патч вошёл в widget-sandbox 0.6.4 вместе с пятью другими исправлениями. Однако Desktop 7.4.2 собрали на более ранней ревизии a74626d: пять исправлений туда подтянули, а ca3594d не включили. Подтверждённой атаки на Windows, macOS или Linux пока нет. На Android компания V12 показала, как виджет запускает постороннее приложение: после нажатия Start Bot открылся системный калькулятор. Telegram заявил, что устранил проблему в версии 13.2.2, а виджеты на Android вынесли в отдельный изолированный процесс. Код виджетов общий для всех платформ, но движки и условия исполнения различаются. В браузере используется WebAssembly, поэтому последствия там нельзя приравнивать к захвату компьютера. В основной сети виджеты пока работают только в личных чатах с ботами, остальные способы распространения доступны лишь на тестовом сервере В начале года один из наших аккаунтов так же был взломан, через desktop. И если веб версией телеграм я никогда не пользовался из-за кол-ва уязвимостей, то приложение на компьютер только с этого года удалил. Чего настоятельно рекомендую и вам. GLUSHILKI