أصلحت تيليغرام ثغرة تنفيذ أكواد عن بُعد في تطبيقها لأندرويد، بحسب تقرير نشره موقع SecurityOnline في 12 نوفمبر. ونشرت شركة الأمن V12 مقطع فيديو في 11 نوفمبر بعنوان «Telegram Widgets RCE» مع بصمة SHA-256 ولكن دون شرح تقني. وفي العرض التجريبي يرسل مستخدم الأمر /start إلى بوت، فيرد البوت بصورة، ويفتح تطبيق الآلة الحاسبة في الهاتف بعد ثوانٍ قليلة، ما يوحي بأن كوداً نُفّذ على الجهاز.
الودجات ميزة أحدث في بوتات تيليغرام. وتصفها وثائق المطورين في تيليغرام بأنها كتل تفاعلية صغيرة داخل رسالة البوت، مكتوبة بلغتي HTML وJavaScript وتعمل في محرك QuickJS بدلاً من عارض متصفح. وتذكر الصفحة أن الودجات لا تملك وصولاً إلى الشبكة وأنها تُطرح على مراحل، وتعمل حالياً في المحادثات الخاصة مع بوت في بيئة الإنتاج. ولم تذكر V12 المكوّن الذي أخفق؛ وتشير منشورات على إكس إلى خلل في QuickJS، وهو غير مؤكد.
وأفاد SecurityOnline بأن تيليغرام أكدت على إكس أن الخلل «أُصلح بالأمس» وأن الإصلاح وصل إلى جميع المستخدمين. وأضاف أنه لم يُخصّص رقم CVE، ولم تُبلغ هجمات فعلية، ولم يُنشر رقم إصدار متأثر أو مُصحَّح، وأنه غير واضح ما إذا كانت عملاء iOS أو سطح المكتب متأثرين.
ينبغي للمستخدمين تحديث تطبيق أندرويد وتجنب بدء محادثة مع بوتات غير مألوفة.
تابع السوق بنفسك باستخدام أدوات AiTraderView المجانية: Crypto Cockpit للرسوم البيانية وأكثر من 75 مؤشرًا، وCrypto Screener للعثور على فرص التداول، وCrypto Portfolio لمتابعة ممتلكاتك. فقط أنشئ حسابًا المجاني وجرّبها بنفسك!
المصادر:
⚠️ RISK WARNING & AI DISCLOSURE
- This information is generated by Artificial Intelligence (AI) and complex algorithms. While advanced, these systems can contain errors or inaccuracies and are for educational purposes only.
- Technical analysis provides no guarantees; this information is purely informative.
- All discussed scenarios are hypothetical and do not constitute predictions or expectations.
- Past performance is not an indicator of future results.
- This is not financial advice and is not intended as a call-to-action for the reader.
- No implicit direction is claimed, and no specific behavior of market participants is suggested.