消息详情

慢雾：新版Telegram消息嵌入“应用”缺乏沙盒保护，存在恶意代码执行风险币圈新闻: 11月12日消息，慢雾创始人余弦发文称，新版Telegram支持在消息中直接嵌入“应用”，但没有沙盒保护，其使用的QuickJS可能成为恶意代码触发执行的途径。他表示，Telegram这一设计容易引入不必要的风险，并指出当前AI漏洞挖掘和利用能力已远胜从前。他建议用户暂缓更新Telegram。 PS：图片这是一段 TG desktop 的攻击Demo展示，利用了一个TG 0DAY漏洞。通过这个漏洞，你只需要点击攻击者的机器人 /start，无需任何交互，无需任何点击，看到消息的一瞬间即可RCE。说简单点就是机器人不要乱激活，也有可能中毒。