Yu Xian, fundador da SlowMist, alertou que o novo recurso do Telegram para incorporar aplicativos interativos em mensagens de chat pode apresentar riscos de segurança e aconselhou os usuários a terem cautela ao fazer a atualização.

Segundo o Odaily, o Telegram introduziu o recurso na Bot API 10.4, lançada em 9 de novembro, e usa o QuickJS para executar JavaScript. Embora o Telegram forneça um sandbox do QuickJS e restrinja o acesso à rede, pesquisas recentes de segurança descobriram que o mecanismo já havia apresentado uma vulnerabilidade de execução remota de código que poderia potencialmente contornar o isolamento do sandbox.