Der SlowMist-Gründer Yu Xian warnte, dass Telegrams neue Funktion zum Einbetten interaktiver Apps in Chatnachrichten Sicherheitsrisiken bergen könnte, und riet Nutzern, bei einem Upgrade vorsichtig zu sein.

Odaily zufolge führte Telegram die Funktion mit der am 9. November veröffentlichten Bot API 10.4 ein und verwendet QuickJS zur Ausführung von JavaScript. Obwohl Telegram eine QuickJS-Sandbox bereitstellt und den Netzwerkzugriff einschränkt, ergab eine aktuelle Sicherheitsuntersuchung, dass die Engine zuvor eine Sicherheitslücke zur Remotecodeausführung aufwies, durch die sich möglicherweise die Sandbox-Isolierung umgehen ließ.