Основатель SlowMist Юй Сян предупредил, что новая функция Telegram, позволяющая встраивать интерактивные приложения в сообщения чата, может представлять угрозу безопасности, и посоветовал пользователям с осторожностью относиться к обновлению.

По данным Odaily, Telegram представил эту функцию в Bot API 10.4, выпущенном 9 ноября, и использует QuickJS для выполнения JavaScript. Хотя Telegram предоставляет песочницу QuickJS и ограничивает сетевой доступ, недавнее исследование безопасности показало, что ранее в движке существовала уязвимость, допускающая удалённое выполнение кода и потенциально позволяющая обойти изоляцию песочницы.