SlowMist創設者の余弦氏は、QuickJSを使ってJavaScriptを実行するTelegramの新機能により、ユーザーが悪意のあるコード攻撃を受けるリスクが高まる可能性があると警告した。この機能では、チャットメッセージにインタラクティブなアプリを直接埋め込むことができる。Telegramは11月9日、Bot API 10.4を通じてこの機能を導入した。実装にはサンドボックスによる隔離とネットワークアクセスの制限が含まれているが、最近のセキュリティ調査により、実行エンジンには以前、サンドボックスの隔離を回避される可能性のあるリモートコード実行の脆弱性が存在していたことが判明した。