慢雾提示Telegram新版有风险
摘要
慢雾余弦称，新版Telegram支持消息内嵌应用，但缺少沙盒保护，所用QuickJS可能成为恶意代码执行路径，建议用户暂不更新。研究者称相关漏洞修复目前仍只在主分支。
原文片段
慢雾余弦：新版Telegram消息内嵌应用缺少沙盒保护，建议暂不更新 BlockBeats 消息，11 月 12 日，慢雾创始人余弦在社交媒体发文称，新版 Telegram 支持在消息中内嵌「应用」，但没有沙盒保护，所使用的 QuickJS 有可能成为恶意代码触发执行的路径。他表示，花里胡哨的功能容易引入不必要的风险，现在的 AI 漏洞挖掘和利用已经远胜从前，并建议用户暂不更新 Telegram。 此事与 Telegram 创始人 Pavel Durov 11 月 10 日公布的新功能相关。Durov 称任意 Telegram 消息都可成为一个应用，体积不足 4 KB、可即时下载，并支持交…
事件进展 共 2 条 ，最新在上
-
慢雾提示Telegram新版有风险
-
Telegram新功能被警告有风险
慢雾创始人余弦警告，Telegram新版支持在聊天消息中直接嵌入交互式应用，用QuickJS执行JavaScript，可能增加恶意代码攻击风险，建议用户谨慎升级。该功能随Bot API 10.4于11月9日推出，官方设有沙盒和网络访问限制，但研究人员发现该执行引擎曾存在可突破沙盒的远程代码执行漏洞。
