تيليجرام: ثغرة تنفيذ شيفرة عن بعد في ودجات HTML على أندرويد
أظهر باحثو V12 أن ودجات HTML التفاعلية الجديدة داخل محادثات تيليجرام سمحت بتنفيذ شيفرة عن بعد على أندرويد. وقد أصدر المطورون التصحيح.
SUMO· لغز الأرقام
Dialo· تعلّم اللغات بالتحدث
ediviewer· اقرأ ملفات EDI كالمستندات
giftdetect· الهدية المناسبة في دقائقأرادت ميزة تيليجرام الجديدة تحويل المحادثات إلى تطبيقات صغيرة. لكن باحثي الأمن في فريق V12 أظهروا أن ودجات HTML هذه تتيح أيضًا تنفيذ شيفرة عن بعد على الهاتف. الثغرة من نوع RCE (تنفيذ الشيفرة عن بعد) وتخص تطبيق تيليجرام لأندرويد. وقد أصدر المطورون التصحيح بالفعل.
ما هي ودجات HTML في تيليجرام؟
قدّمت تيليجرام في 9 نوفمبر واجهة Bot API 10.4، وبها صار بإمكان البوتات إرسال ودجات HTML تفاعلية. وعلى عكس Mini Apps، لا تفتح هذه الودجات تطبيقًا منفصلًا، بل تعمل مباشرة داخل المحادثة.
تدعم الودجات HTML وCSS وJavaScript، ويُنفَّذ كود JavaScript في بيئة معزولة قائمة على QuickJS. والغاية من العزل منع الشيفرة القادمة من الرسالة من الوصول إلى بقية النظام. وقد أظهر باحثو V12 أن هذا العزل أمكن تجاوزه على أندرويد وصولًا إلى تنفيذ الشيفرة.
ماذا يعني ذلك للمستخدمين؟
اقتصر تأثير الثغرة على تطبيق أندرويد، وقد سدّها المطورون. ومع ذلك، كلما زادت الشيفرة التي تعمل داخل الرسائل، زادت المواضع التي قد يحدث فيها خلل. فالميزة لم يمضِ على إطلاقها سوى أيام، والمشكلة اكتُشفت سريعًا.
تطبيقات تستحق النظر
SUMO: لغز الأرقاماختر المربعات الصحيحة واجمعها وحقّق الهدف. سهل التعلم، صعب الإتقان. مجاني، لجميع الأعمار.
Dialo: تعلّم اللغات بالتحدثتحدّث مع شريك محادثة بالذكاء الاصطناعي؛ تعود كل جملة مصحّحة ومشروحة بلغتك. 9 لغات، من A1 إلى C2.
ediviewer: اقرأ ملفات EDI كالمستنداتافتح رسائل EDIFACT وX12 مع شرح كل مقطع، وحوّلها إلى JSON/XML، وصدّرها إلى PDF وExcel. يعمل محليًا دون رفع.
giftdetect: الهدية المناسبة في دقائقاختر لمن الهدية والمناسبة والشخصية. يقرأ محرك البحث أوصاف المنتجات من المتاجر المحلية ويرتّب ما يناسب. مجاني، بلا تسجيل.
المزيد من هذا اليوم
عرض الكل →
مكعب روبيك يعود إلى المجر: خط إنتاج آلي بالكامل في ياسبيريني
التسوق بالذكاء الاصطناعي: Perplexity قدّم مواقع مشبوهة في 15% من ردوده
رحلة Starship 15: سبيس إكس تحاول التقاط المرحلتين بالذراعين
