安全团队警告:Telegram 新 JS 消息功能沙箱缺失,勿升级
OwariDa · x · 2026-11-12
安全团队 nebu security 发出警告:Telegram 最新版允许在原生消息中直接运行 JavaScript(Durov 宣称任意消息可变成小于 4KB 的即时下载应用)，但其 QuickJS 运行时从未被正确沙箱化。一旦 QuickJS 或原生渲染路径出现漏洞，攻击者即可在 Telegram 应用内实现原生代码执行。
- nebu security 认为在没有隔离的情况下于原生消息中跑 JS 是重大设计失误，指出这缘于缺少安全伙伴参与设计评审
- 建议用户暂留当前版本，等待进一步通知
「安全」频道最新
- roon：OpenAI 内部已因失控事件彻底转向安全与对齐 — paulnovosad · 2026-11-12
- 《维罗纳宣言》发布：为计算研究中的生成式 AI 使用立规矩 — luislamb · 2026-11-12
- AI 安全组织 Evitable 招聘传播专员，年薪 8-9.8 万美元 — DavidSKrueger · 2026-11-12
- 研究：数据中心仅占美国家庭电价涨幅 4%，参议员仍呼吁全国禁建 — Eliv_nurotic · 2026-11-12
- DC 自动驾驶法案迎最后窗口期,网友呼吁致电议员保住 AV 合法化 — AndyMasley · 2026-11-12
- Beff 称「协同围剿」是大厂争夺监管俘获,明年争算力权利 — beffjezos · 2026-11-12