Telegram Info
Интерактивные Web-сообщения прямо в чате Канал TBetaLeak обнаружил в сборке Telegram для macOS версии 12.10.283300 масштабную экспериментальную подсистему — HTMLBubbles. Согласно описанию, мессенджер тестирует интерактивные сообщения на базе HTML, CSS и…
Интерактивные HTML-сообщения заработали в Android-приложении
В Beta-версии Telegram для Android под номером 13.2 удалось проверить работу экспериментальной технологии HTMLBubbles.
Она позволяет создавать интерактивные сообщения с использованием HTML, CSS и JavaScript, которые отображаются непосредственно в переписке без открытия отдельного Mini App.
Для проверки редакция @tginfo создала собственный HTML-виджет. В нём удалось подтвердить выполнение JavaScript и базовых функций обычных веб-сайтов.
Аналогичные компоненты обнаружены и в Beta-версии Telegram для iOS под номером 13.2, где также появились встроенные инструменты тестирования виджетов.
Вопросы безопасности
В настройках протестированных Beta-версий пока не обнаружено отдельного переключателя для отключения HTMLBubbles.
Ранее редакция @tginfo уже выражала опасения по поводу исполнения JavaScript непосредственно в переписке.
Напомним, что недавно в Telegram Desktop была обнаружена уязвимость CVE-2026-107181, позволявшая похищать файлы через специально подготовленные ссылки.
Несмотря на то, что эта уязвимость не связана с HTMLBubbles, появление нового механизма исполнения кода внутри сообщений может привести к возникновению гораздо более серьёзных уязвимостей, которые для активации не требуют действия со стороны пользователя (zero-click).
Когда функция станет доступна всем?
Сейчас HTMLBubbles остаётся экспериментальной технологией. Возможность отправлять такие сообщения ограничена, а публичный API для разработчиков пока не представлен.
#Android #iOS #Beta
В Beta-версии Telegram для Android под номером 13.2 удалось проверить работу экспериментальной технологии HTMLBubbles.
Она позволяет создавать интерактивные сообщения с использованием HTML, CSS и JavaScript, которые отображаются непосредственно в переписке без открытия отдельного Mini App.
Для проверки редакция @tginfo создала собственный HTML-виджет. В нём удалось подтвердить выполнение JavaScript и базовых функций обычных веб-сайтов.
Аналогичные компоненты обнаружены и в Beta-версии Telegram для iOS под номером 13.2, где также появились встроенные инструменты тестирования виджетов.
Вопросы безопасности
В настройках протестированных Beta-версий пока не обнаружено отдельного переключателя для отключения HTMLBubbles.
Ранее редакция @tginfo уже выражала опасения по поводу исполнения JavaScript непосредственно в переписке.
Напомним, что недавно в Telegram Desktop была обнаружена уязвимость CVE-2026-107181, позволявшая похищать файлы через специально подготовленные ссылки.
Несмотря на то, что эта уязвимость не связана с HTMLBubbles, появление нового механизма исполнения кода внутри сообщений может привести к возникновению гораздо более серьёзных уязвимостей, которые для активации не требуют действия со стороны пользователя (zero-click).
Когда функция станет доступна всем?
Сейчас HTMLBubbles остаётся экспериментальной технологией. Возможность отправлять такие сообщения ограничена, а публичный API для разработчиков пока не представлен.
#Android #iOS #Beta
1👍164😱135👏97🎉78🤬36😍28👎23🤡18🥰12🍾10🆒6
Исследователь обошёл серверную проверку стикеров в Telegram для zero-click взлома iOS — тем временем мессенджер заменил уязвимую библиотеку
UPD 29.10.26. Автор исследователя подтвердил, что Telegram устранил проблему переходом на библиотеку tlottie. Пользователи последних версий официальных приложений Telegram защищены.
Специалист по кибербезопасности Сайфелдин Азиз анонсировал доклад на конференции OffensiveCon — на протяжении года исследователь изучал безопасность стикеров Telegram. Совсем недавно Telegram переделал библиотеку стикеров, поэтому без подробностей непонятно, исправили ли обновления анонсированные уязвимости.
Прямой угрозы пользователям Telegram на актуальных версиях официальных приложений сейчас скорее всего нет.
Что именно обнаружил исследователь?
• С помощью автоматической переборки (fuzzing) под управлением ИИ, в библиотеке rlottie, отвечающей за отрисовку анимированных стикеров, было найдено несколько уязвимостей. В Telegram для iOS это даёт возможность исполнять код на устройстве жертвы.
• Telegram рассчитывает на то, что серверная проверка отсечёт вредоносные файлы.
• Исследователь нашёл логические ошибки в доставке и проверке стикеров. С их помощью он обошёл защитные механизмы.
• По словам автора, даже после получения отчётов Telegram продолжает полагаться на серверные ограничения, а уязвимый код рендеринга по-прежнему остаётся в официальных клиентах.
Telegram сменил библиотеку для стикеров
Пока шло исследование, Telegram изменил подход. Мессенджер опубликовал tlottie — новую библиотеку для отображения стикеров, портированную на Rust. Она уже используется в Telegram Desktop, macOS, Android; с сентября она стала использоваться и в Telegram для iOS.
Библиотека tlottie закрывает целый класс ошибок памяти, на которых годами строились атаки через стикеры. По мнению редакции, обновляя библиотеку в клиентских приложениях, администрация мессенджера демонстрирует, что в вопросах безопасности не полагается на одни лишь серверные проверки.
Актуальны ли находки сейчас?
• Материалы доклада пока не опубликованы онлайн. На каких версиях проверялась цепочка и в чём именно суть уязвимостей, станет известно позже.
• Исследование шло год, а в анонсе речь идёт именно об rlottie. Поэтому есть основания сомневаться, что проблема осталась на актуальных версиях, но исключать этого всё же нельзя. Кроме того, логические ошибки в доставке и проверке стикеров от библиотеки рендеринга не зависят.
• Rust — не гарантия. Независимых аудитов и публичного анализа tlottie пока нет, поэтому продемонстрировать своё качество библиотека сможет только со временем.
Системная проблема
История с уязвимостями в стикерах существует уже много лет. Ещё в 2020 году специалисты Shielder нашли в rlottie 13 багов, позволявших удалённо повреждать память устройства. Telegram тогда лишь точечно закрыл конкретные ошибки.
При этом компания публично отрицала риски. В 2025 году брокер Operation Zero предлагал до $4 млн за zero-click эксплойты для мессенджера, а представитель Telegram утверждал в комментарии Forbes, что мессенджер «никогда не был уязвим для zero-click эксплойтов».
В марте 2026 года в базе Zero Day Initiative появилась запись об уязвимости в стикерах Telegram. Пресс-служба мессенджера заявила «Коду Дурова», что «наличие такого эксплойта невозможно», поскольку все стикеры проверяются серверами. Редакция @tginfo тогда же указывала, что серверная валидация — лишь один из слоёв защиты, который может содержать ошибки, с чем согласен и вывод нового исследования. В октябре ZDI опубликовал полные подробности об уязвимости, пометив её незакрытой.
В своём анонсе Сайфелдин Азиз ставит под сомнение подход Telegram к обеспечению безопасности, а также спекулирует на тему того, что такие уязвимости могут использоваться для создания бекдоров.
По мнению редакции @tginfo, переход на tlottie — первый за много лет шаг к решению проблемы, а не очередная заплатка. Telegram зачастую агрессивно отрицает вероятность любых уязвимостей или замалчивает проблемы. Редакция @tginfo отмечает, что доверие создают не такие декларации, а открытое признание проблем и независимая проверка кода.
#уязвимости
UPD 29.10.26. Автор исследователя подтвердил, что Telegram устранил проблему переходом на библиотеку tlottie. Пользователи последних версий официальных приложений Telegram защищены.
Специалист по кибербезопасности Сайфелдин Азиз анонсировал доклад на конференции OffensiveCon — на протяжении года исследователь изучал безопасность стикеров Telegram. Совсем недавно Telegram переделал библиотеку стикеров, поэтому без подробностей непонятно, исправили ли обновления анонсированные уязвимости.
Прямой угрозы пользователям Telegram на актуальных версиях официальных приложений сейчас скорее всего нет.
Что именно обнаружил исследователь?
• С помощью автоматической переборки (fuzzing) под управлением ИИ, в библиотеке rlottie, отвечающей за отрисовку анимированных стикеров, было найдено несколько уязвимостей. В Telegram для iOS это даёт возможность исполнять код на устройстве жертвы.
• Telegram рассчитывает на то, что серверная проверка отсечёт вредоносные файлы.
• Исследователь нашёл логические ошибки в доставке и проверке стикеров. С их помощью он обошёл защитные механизмы.
• По словам автора, даже после получения отчётов Telegram продолжает полагаться на серверные ограничения, а уязвимый код рендеринга по-прежнему остаётся в официальных клиентах.
Telegram сменил библиотеку для стикеров
Пока шло исследование, Telegram изменил подход. Мессенджер опубликовал tlottie — новую библиотеку для отображения стикеров, портированную на Rust. Она уже используется в Telegram Desktop, macOS, Android; с сентября она стала использоваться и в Telegram для iOS.
Библиотека tlottie закрывает целый класс ошибок памяти, на которых годами строились атаки через стикеры. По мнению редакции, обновляя библиотеку в клиентских приложениях, администрация мессенджера демонстрирует, что в вопросах безопасности не полагается на одни лишь серверные проверки.
Актуальны ли находки сейчас?
• Материалы доклада пока не опубликованы онлайн. На каких версиях проверялась цепочка и в чём именно суть уязвимостей, станет известно позже.
• Исследование шло год, а в анонсе речь идёт именно об rlottie. Поэтому есть основания сомневаться, что проблема осталась на актуальных версиях, но исключать этого всё же нельзя. Кроме того, логические ошибки в доставке и проверке стикеров от библиотеки рендеринга не зависят.
• Rust — не гарантия. Независимых аудитов и публичного анализа tlottie пока нет, поэтому продемонстрировать своё качество библиотека сможет только со временем.
Системная проблема
История с уязвимостями в стикерах существует уже много лет. Ещё в 2020 году специалисты Shielder нашли в rlottie 13 багов, позволявших удалённо повреждать память устройства. Telegram тогда лишь точечно закрыл конкретные ошибки.
При этом компания публично отрицала риски. В 2025 году брокер Operation Zero предлагал до $4 млн за zero-click эксплойты для мессенджера, а представитель Telegram утверждал в комментарии Forbes, что мессенджер «никогда не был уязвим для zero-click эксплойтов».
В марте 2026 года в базе Zero Day Initiative появилась запись об уязвимости в стикерах Telegram. Пресс-служба мессенджера заявила «Коду Дурова», что «наличие такого эксплойта невозможно», поскольку все стикеры проверяются серверами. Редакция @tginfo тогда же указывала, что серверная валидация — лишь один из слоёв защиты, который может содержать ошибки, с чем согласен и вывод нового исследования. В октябре ZDI опубликовал полные подробности об уязвимости, пометив её незакрытой.
В своём анонсе Сайфелдин Азиз ставит под сомнение подход Telegram к обеспечению безопасности, а также спекулирует на тему того, что такие уязвимости могут использоваться для создания бекдоров.
По мнению редакции @tginfo, переход на tlottie — первый за много лет шаг к решению проблемы, а не очередная заплатка. Telegram зачастую агрессивно отрицает вероятность любых уязвимостей или замалчивает проблемы. Редакция @tginfo отмечает, что доверие создают не такие декларации, а открытое признание проблем и независимая проверка кода.
#уязвимости
1👍230👏101🎉66🆒63🤡24😱17🍾16👎12🤬12😍12🥰8
Больше возможностей HTML-сообщений в Telegram
В новых Beta-версиях Telegram для Android и iOS под номером 13.2 продолжается развитие HTMLBubbles — технологии интерактивных сообщений на основе HTML, CSS и JavaScript, которые отображаются непосредственно в переписке без запуска Mini App.
Ранее редакция @tginfo уже рассказывала о появлении таких сообщений. С тех пор их возможности значительно расширились: виджеты научились взаимодействовать с ботами, получать обновления с сервера и сохранять собственное состояние.
Что уже реализовано?
• Интерактивные игры. В сообщениях можно запускать полноценные небольшие игры с анимациями, управлением касаниями и сохранением прогресса. Редакции удалось протестировать несколько собственных игр, включая шутер с псевдотрёхмерной графикой.
• Взаимодействие с ботами. Виджеты могут отправлять запросы своему боту и получать ответы. Например, пользователь голосует в интерактивном опросе, а бот обрабатывает его выбор и возвращает обновлённые результаты.
• Общие данные и обновления. Содержимое сообщения может меняться без его повторной отправки или редактирования. В тестах удалось подтвердить синхронизацию результатов голосования и обновляемого графика между пересланными копиями виджета. При этом обновления могут отображаться с задержкой в несколько секунд.
• Локальное хранилище. HTMLBubbles способны сохранять данные между запусками Telegram. Проверки показали, что состояние разных сообщений и аккаунтов не смешивается даже при использовании одного устройства.
• Inline-режим. На тестовом сервере уже можно выбирать интерактивные виджеты с помощью inline-запроса и отправлять их непосредственно в переписку. Однако часть серверных действий в таком режиме пока завершается ошибкой.
• Дополнительные возможности. Виджеты поддерживают копирование текста, переходы по Telegram-ссылкам и получение сведений о контексте сообщения. Также предусмотрены механизмы фоновых запросов к боту и адаптации интерфейса.
Интеграция с криптокошельком
В новой Beta-версии Telegram для Android 13.2 (7278) обнаружена поддержка взаимодействия HTMLBubbles с TON-кошельком.
В JavaScript API появились методы для запроса отправки транзакций и криптографической подписи данных. Такие операции предполагают подтверждение со стороны пользователя и не предоставляют виджету неограниченный доступ к кошельку.
Это потенциально позволит создавать интерактивные карточки с финансовыми действиями непосредственно внутри сообщений.
Напомним, что ранее редакция @tginfo уже выражала опасения по поводу исполнения JavaScript непосредственно в переписке.
Когда функция станет доступна всем?
HTMLBubbles по-прежнему находится на стадии тестирования. Отображение интерактивных сообщений уже работает в Beta-версиях Telegram для Android и iOS, однако отдельные серверные функции ещё работают нестабильно.
#Android #iOS #Beta
В новых Beta-версиях Telegram для Android и iOS под номером 13.2 продолжается развитие HTMLBubbles — технологии интерактивных сообщений на основе HTML, CSS и JavaScript, которые отображаются непосредственно в переписке без запуска Mini App.
Ранее редакция @tginfo уже рассказывала о появлении таких сообщений. С тех пор их возможности значительно расширились: виджеты научились взаимодействовать с ботами, получать обновления с сервера и сохранять собственное состояние.
Что уже реализовано?
• Интерактивные игры. В сообщениях можно запускать полноценные небольшие игры с анимациями, управлением касаниями и сохранением прогресса. Редакции удалось протестировать несколько собственных игр, включая шутер с псевдотрёхмерной графикой.
• Взаимодействие с ботами. Виджеты могут отправлять запросы своему боту и получать ответы. Например, пользователь голосует в интерактивном опросе, а бот обрабатывает его выбор и возвращает обновлённые результаты.
• Общие данные и обновления. Содержимое сообщения может меняться без его повторной отправки или редактирования. В тестах удалось подтвердить синхронизацию результатов голосования и обновляемого графика между пересланными копиями виджета. При этом обновления могут отображаться с задержкой в несколько секунд.
• Локальное хранилище. HTMLBubbles способны сохранять данные между запусками Telegram. Проверки показали, что состояние разных сообщений и аккаунтов не смешивается даже при использовании одного устройства.
• Inline-режим. На тестовом сервере уже можно выбирать интерактивные виджеты с помощью inline-запроса и отправлять их непосредственно в переписку. Однако часть серверных действий в таком режиме пока завершается ошибкой.
• Дополнительные возможности. Виджеты поддерживают копирование текста, переходы по Telegram-ссылкам и получение сведений о контексте сообщения. Также предусмотрены механизмы фоновых запросов к боту и адаптации интерфейса.
Интеграция с криптокошельком
В новой Beta-версии Telegram для Android 13.2 (7278) обнаружена поддержка взаимодействия HTMLBubbles с TON-кошельком.
В JavaScript API появились методы для запроса отправки транзакций и криптографической подписи данных. Такие операции предполагают подтверждение со стороны пользователя и не предоставляют виджету неограниченный доступ к кошельку.
Это потенциально позволит создавать интерактивные карточки с финансовыми действиями непосредственно внутри сообщений.
Напомним, что ранее редакция @tginfo уже выражала опасения по поводу исполнения JavaScript непосредственно в переписке.
Когда функция станет доступна всем?
HTMLBubbles по-прежнему находится на стадии тестирования. Отображение интерактивных сообщений уже работает в Beta-версиях Telegram для Android и iOS, однако отдельные серверные функции ещё работают нестабильно.
#Android #iOS #Beta
👍104👎79👏69🎉47😱15🤬12🆒12🥰11😍7🍾5🤡4