余弦警告Telegram新功能安全風險：QuickJS執行引擎或存在沙盒逃逸隱患

Odaily星球日報訊 慢霧創始人余弦發文警告，Telegram 新版本支持在聊天消息中直接嵌入交互式應用，相關功能使用 QuickJS 執行 JavaScript，可能增加惡意代碼攻擊風險，建議用戶謹慎升級。

Telegram 於 11 月 9 日推出的 Bot API 10.4 正式引入該功能。儘管官方提供了 QuickJS 沙盒及網絡訪問限制，但近期安全研究發現，相關執行引擎曾存在可能突破沙盒隔離的遠程代碼執行漏洞。