慢霧創辦人警告Telegram新功能可能帶來沙箱逃逸風險

慢霧創辦人Cos警告，Telegram新推出的功能允許使用者直接在聊天訊息中嵌入互動式應用程式，可能增加遭惡意程式碼攻擊的風險。Cos表示，這項功能透過QuickJS執行JavaScript。建議使用者升級時保持謹慎。

Telegram透過11月9日發布的Bot API 10.4正式加入這項功能。官方實作包含QuickJS沙箱，並限制網路存取。然而，近期安全研究發現，該執行引擎先前曾存在遠端程式碼執行漏洞，可能繞過沙箱隔離。