Yu Xian, fondateur de SlowMist, a averti que la nouvelle fonctionnalité de Telegram permettant d’intégrer des applications interactives dans les messages de chat pourrait présenter des risques de sécurité et a conseillé aux utilisateurs de faire preuve de prudence avant de la mettre à jour.

Selon Odaily, Telegram a introduit cette fonctionnalité dans Bot API 10.4, publiée le 9 novembre, et utilise QuickJS pour exécuter du JavaScript. Bien que Telegram fournisse un environnement isolé QuickJS et restreigne l’accès au réseau, des recherches récentes en sécurité ont révélé que ce moteur avait auparavant comporté une vulnérabilité d’exécution de code à distance susceptible de contourner l’isolation de l’environnement.