👀 RCE у віджетах Telegram?

З’явилися повідомлення про вразливість у віджетах Telegram Desktop та Android, яка може дозволяти віддалене виконання коду. На відео демонструють запуск калькулятора🚫

🫣Описана проблема у QuickJS-ng: парсер допускав конструкцію for (await using ...) усередині неасинхронної функції. Це спричиняло use-after-return — помилку роботи з пам’яттю, яку потенційно можна використати для довільного доступу до пам’яті процесу🛡

Стверджують, що вразливість є в TDesktop v7.4.2 та інших клієнтах із QuickJS. Актуальний перелік уражених версій і статус виправлень поки без підтвердження. Самі ролики не доводять, що проблема досі є в усіх цих клієнтах💀