Telegram Bot API 10.4 исправил уязвимость QuickJS RCE в HTML-виджетах

Telegram Bot API 10.4 получил обновление, которое закрывает уязвимость удалённого выполнения кода в HTML-виджетах. Исправление вошло в Android-клиент версии 13.2.2 и распространяется с 10–11 ноября 2026 года.

Telegram Bot API 10.4 и уязвимость QuickJS RCE

Релиз Bot API 10.4 состоялся 9 ноября 2026 года. В нём появились HTML-виджеты — интерактивные карточки на HTML и JavaScript объёмом до 32 КБ в исходном виде. Виджеты работают внутри чатов через метод sendWidget в изолированной среде QuickJS без доступа к сети.

11 ноября 2026 года исследователь V12 опубликовал демонстрацию атаки на Android. Злоумышленный виджет запускал приложение Калькулятор после взаимодействия с ботом. Причина — ошибка use-after-return в обработке конструкции await using в форке QuickJS-ng, который использует Telegram. Это позволило коду виджета выйти за пределы песочницы.

Исправление внесли коммитом ca3594d 10 ноября 2026 года. В Android 13.2.2 (сборка около 73031) виджеты перенесены в отдельный изолированный процесс. На момент публикации подтверждённых случаев эксплуатации в реальных условиях не зафиксировано.

Обновления клиентов и дальнейшие меры

Telegram Desktop 7.4.2 получил часть исправлений QuickJS 11 ноября, но полный патч ca3594d появился только в версии 7.4.3. На момент отчёта публичных подтверждённых демонстраций RCE на десктопе не было.

Функция виджетов остаётся доступной только в приватных чатах с ботом. В группах, inline-режиме и при пересылке она работает исключительно на тестовом сервере. Разработчики Telegram продолжают аудит QuickJS и планируют дополнительные обновления песочницы.

Пользователям рекомендуется установить Android 13.2.2 и последующие версии клиентов. Компании SlowMist и другие специалисты ранее предупреждали о рисках песочницы при запуске новой функции. CVE на уязвимость не присвоен.