Telegram: fallo RCE en los widgets HTML de Android, ya corregido
Investigadores de V12 demostraron que los nuevos widgets HTML de Telegram permitían ejecutar código a distancia en Android. El parche ya está disponible.
SUMO· el puzle de números
Dialo· aprende idiomas hablando
ediviewer· lee archivos EDI como documentos
giftdetect· el regalo adecuado en minutosLos nuevos widgets interactivos de Telegram tuvieron un fallo grave a los pocos días de estrenarse. Los investigadores de seguridad de V12 demostraron una vulnerabilidad RCE en Telegram, es decir, ejecución remota de código, en la app para Android. Telegram ya ha publicado una corrección.
La función llegó el 9 de noviembre con la Bot API 10.4. Permite que los bots envíen widgets HTML interactivos directamente a una conversación. A diferencia de las Mini Apps, que se abren como una aplicación aparte, estos widgets funcionan dentro del propio chat. Admiten HTML, CSS y JavaScript, y este último debe ejecutarse en un entorno aislado QuickJS, un motor de JavaScript pequeño que hace de sandbox.
Según los investigadores, ese aislamiento no bastó en Android. El resumen disponible no explica cómo funcionaba el ataque, así que no entramos en esos detalles.
¿Qué es la ejecución remota de código?
Significa que un atacante puede hacer que tu dispositivo ejecute código elegido por él, desde lejos. Es de los fallos más graves, porque el punto de partida puede ser algo tan corriente como un mensaje en un chat.
¿Es seguro Telegram en Android ahora?
Los desarrolladores han lanzado un parche, así que lo práctico es actualizar Telegram en Android a la última versión. Según los investigadores, el fallo afectaba a la app de Android.
Los plazos fueron cortos: widgets presentados el 9 de noviembre e investigación pública el 11. Una función que ejecuta código dentro de un chat es un blanco atractivo, y esta se puso a prueba enseguida.
Apps que merecen la pena
SUMO: el puzle de númerosToca las casillas correctas, suma y alcanza el objetivo. Fácil de aprender, difícil de dominar. Gratis, para todas las edades.
Dialo: aprende idiomas hablandoConversa con un compañero de IA; cada frase vuelve corregida y explicada en tu idioma. 9 idiomas, de A1 a C2.
ediviewer: lee archivos EDI como documentosAbre mensajes EDIFACT y X12, cada segmento explicado, conversión a JSON/XML, exportación a PDF y Excel. Funciona en local, sin subir nada.
giftdetect: el regalo adecuado en minutosElige para quién es, la ocasión y su personalidad. El buscador lee las descripciones de tiendas locales y ordena lo que encaja. Gratis, sin registro.
Más de este día
Ver todas →
Comprar con IA: Perplexity citó tiendas sospechosas en el 15 % de respuestas
Starship vuelo 15: SpaceX intentará atrapar las dos etapas
Prefijo 400: denuncian una estafa con Iberdrola a los tres días de estrenarse
