SecurityOnline于11月12日发布的一篇报道称，Telegram已修复其安卓应用中的一个远程代码执行漏洞。安全公司V12在11月11日发布了一段题为“Telegram Widgets RCE”的视频，附有SHA-256哈希值，但没有技术细节说明。在演示中，用户向机器人发送/start，机器人回复一张图片，几秒钟后手机上的计算器应用被打开，这表明设备上执行了代码。
小组件是Telegram机器人较新的功能。Telegram的开发者文档称，它们是机器人消息中的小型交互块，用HTML和JavaScript编写，在QuickJS引擎而非浏览器视图中运行。该页面称小组件没有网络访问权限，正在分阶段推出，目前可在与正式环境机器人的私聊中使用。V12尚未说明出现问题的组件；X上的帖子指向QuickJS漏洞，但这一说法未经证实。
SecurityOnline报道称，Telegram在X上确认该漏洞“昨天已修复”，且修复已覆盖所有用户。报道还称，目前尚未分配CVE编号，未报告实际攻击，也未公布存在漏洞或已修补的版本号，iOS或桌面客户端是否受影响也不清楚。
用户应更新安卓应用，并避免启动不熟悉的机器人。
使用 AiTraderView 的免费工具自行跟踪市场：Crypto Cockpit 提供图表和 75+ 指标，Crypto Screener 帮你发现交易机会，Crypto Portfolio 帮你跟踪持仓。只需创建一个免费账户，亲自试用吧！
来源:
⚠️ RISK WARNING & AI DISCLOSURE
- This information is generated by Artificial Intelligence (AI) and complex algorithms. While advanced, these systems can contain errors or inaccuracies and are for educational purposes only.
- Technical analysis provides no guarantees; this information is purely informative.
- All discussed scenarios are hypothetical and do not constitute predictions or expectations.
- Past performance is not an indicator of future results.
- This is not financial advice and is not intended as a call-to-action for the reader.
- No implicit direction is claimed, and no specific behavior of market participants is suggested.