Телеграм канал «Telegram hackers»

Если кому-то нужна разблокировка кошелька, то пишите в комментариях - разблокирую ранний доступ.
У вас должна быть версия Телеграма на Андроиде не ниже 13

Опасная уязвимость в Telegram Desktop: кража любых файлов в один клик

Чего делать НЕЛЬЗЯ и как защититься:
• Не оставайтесь на версиях ниже 7.2.9 — срочно обновите клиент. Если вы используете неофициальный клиент, временно перейдите на официальный, пока не выйдет обновление.

Скачать:
• Windows / macOS / Linux: официальный сайт или GitHub.
• Windows: Microsoft Store.
• macOS: App Store.
• Linux: Flathub,Snapcraft.

Совет для пользователей старых клиентов:

• Ссылки опасны: кликая по любым ссылкам, внимательно читайте всплывающее окно — если Telegram показывает в ссылке странную структуру (например, начинается с tg://), не переходите по ней.

• Не держите клиент без локального код-пароля: его включение шифрует файлы сессии в каталоге tdata, предотвращая мгновенный захват аккаунта даже при их утечке.

В чём суть проблемы?

В клиентах Telegram Desktop до версии 7.2.9 обнаружена уязвимость (CVE-2026-107181). Из-за отсутствия экранирования разделителя ; параметры в ссылках схемы tg:// распознавались как отдельные IPC-команды. С помощью служебного обработчика interpret: атакующий мог при клике на подготовленную ссылку незаметно отправить файлы с системы в свой канал без подтверждения со стороны пользователя.

Главный риск

Опасность не ограничивается только перехватом файлов сессии tdata и угоном аккаунта. Эксплуатация позволяет скрытно украсть абсолютно любые файлы на компьютере, к которым у пользователя есть доступ: документы, сохранённые сессии браузеров, SSH-ключи, системные конфигурации или кошельки с криптовалютой.

#безопасность #desktop #уязвимости

Как Telegram ограничит HTML-сообщения под капотом

Чтобы интерактивные карточки в подсистеме HTMLBubbles не сажали батарею и не несли угроз безопасности, разработчики заложили в движок предельно жесткие рамки. Разбор свежего бинарника показал, как устроена эта песочница:

Защита процессора и батареи

— Жесткий таймаут: синхронный вызов JS не может выполняться дольше 50 мс, а суммарная квота CPU ограничена 200 мс в секунду (20% ядра). Зависший скрипт убивается моментально.
— Лимит таймеров: разрешено не более 16 активных setTimeout / setInterval одновременно.
— Автопауза: как только сообщение уходит за пределы экрана при скролле, 60 fps-анимации немедленно засыпают, чтобы не греть устройство.
— Тихий откат: при любой ошибке JS или падении по таймауту клиент мгновенно подменяет сообщение заранее прописанным статичным HTML-блоком.

Абсолютная изоляция (Zero-Trust)

— Никакого доступа в сеть: в JS-контексте вырезаны fetch, XMLHttpRequest и сокеты. Сообщение в принципе не может отправить данные наружу или подгрузить что-то втайне от пользователя.
— Без DOM и WebAssembly: нет привычных document или window. Движок работает по строгой реактивной схеме: *состояние → render() → HTML-строка*. Поддержка WASM полностью заблокирована.


Ограничения на верстку и медиа

— Лимит на размер: сгенерированная разметка не может превышать 256 КБ (ровно 262 144 символа).
— Никакого тяжелого контента: теги <video>, <audio>, <iframe> и <canvas> полностью игнорируются.
— Запрет на внешние картинки: ссылки http:// и https:// внутри <img> заблокированы (никаких трекинговых пикселей и утечек IP). Доступны только data: (base64/SVG), нативные векторные иконки macOS sf: и внутренние ресурсы мессенджера app:.
— Изоляция стилей: CSS заперт внутри своего контейнера и физически не способен сломать оформление соседних сообщений.

Фактически Telegram строит не «браузер в чате», а сверхлегкий и безопасный реактивный микровиджет, полностью изолированный от сети и операционной системы.

TBetaLeak

Ещё больше демонстрации

TBetaLeak

В Telegram 12.10.283300 для macOS найдена масштабная экспериментальная подсистема — HTMLBubbles. Мессенджер тестирует полноценные интерактивные сообщения на базе HTML, CSS и JavaScript прямо в ленте чата, без необходимости запускать отдельное окно Web Mini App.

Каждое такое сообщение сможет превращаться в автономный мини-виджет: карточку товара с переключением цветов и чеком, интерактивный посадочный талон, живые графики, списки задач или даже шахматную партию. Чтобы чаты не тормозили, разработчики отказались от тяжелого браузерного движка в пользу компактного litehtml с нативной отрисовкой через систему macOS, а скрипты изолировали с жестким лимитом времени работы.

В сборку уже зашили 64 рабочих демо-сценариев (от магазинов до аналитики и игр), а код рендеринга подключили напрямую к интерфейсу сообщений. Публично фича пока не запущена и тестируется внутри команды, но Telegram явно готовит фундаментальное изменение самого формата переписки.

TBetaLeak