Не баг, а фича Едва Telegram успел порадовать фичей с виджетами, как у безопасников появилась новая головная боль. Уязвимость в свежей функции позволяет запускать левый софт на Android. Павел Дуров презентовал интерактив с играми, опросами и мини-сервисами прямо в теле сообщения. Технически это выглядит как пакет размером до 4 КБ, внутри которого живёт HTML, CSS и JavaScript. По идее, этот код должен быть изолирован от сети системы. Telegram даже проверяет изменения интерфейса перед показом, а переходы по внешним ссылкам защищены подтверждением через HTTPS. Но спец под ником v12 поставил безопасность под сомнение. Он нашёл уязвимость для обхода ограничений и запуска произвольного софта на Android. В iOS и Windows пока всё тихо, а в самом Telegram функцию зажали в тиски. Боты могут слать виджеты только в личку, и пересылать их нельзя. Пока неясно, какие версии клиентов дырявые, что именно должен нажать пользователь и когда будет патч. В общем, не тыкайте на виджеты от мутных ботов. НеКасперский