Виджеты работают на QuickJS. Два дня назад кто-то прогнал исходники через LLM и нашёл use-after-return: парсер разрешал for (await using …) внутри обычных функций, из-за чего после возврата замыкания продолжали обращаться к уже уничтоженному кадру стека. Это давало шанс выйти из песочницы и выполнить нативный код с правами Telegram. Сообщение об уязвимости все время лежало в паблике. Уязвимый код попал в основную ветку ещё 16 мая, а коммит с исправлениями появился только вчера. Сразу после фикса, обновили сборку для Windows и залили новый APK. Кроме этого, в widget-sandbox добавили следующее Reported against Telegram Android 13.2.1 as native code execution from a widget's script. Это предпоследняя версия, актуальная 13.2.2. Поэтому советую обновиться всем, кто ещё этого не сделал.

Телегой больше не пользуемся Вместе с новыми HTML-виджетами в сообщениях Telegram завезли и новое RCE. Исследователи нашли его меньше чем через 24 часа после анонса от Дурова. О фиксе не сообщается. Как видно из PoC — достаточно просто получить сообщение, и злоумышленник может исполнить код у тебя на устройстве.

Сны при температуре 39°C Шон Бейлс, бывший Red Team-оператор из Национальной гвардии США, опубликовал у себя на странице 30 зеродеев под популярную в США систему для удаленного администрирования N-Central. Пост в LinkedIn он сопроводил видео с эксплуатацией под хардбасс «New Kolbasa». Более того, для каждой уязвимости Шон написал и выложил готовый эксплоит. В совокупности они позволяют скомпрометировать любой сервер с установленной N-Central, общее количество которых насчитывает более 10 000 инстансов во всем мире. Компания-разработчик N-Central не придумала ничего лучше, кроме как начать призывать всех отключать собственные инстансы от сети. Она оказалось настолько не готова, что даже ее собственный сервер ушел в оффлайн. Пак получил название Able2Shell, найти можно тут.