linux.do.饕蹏 (@wushicainiao) 在 TG的来及不明的bot机器人不要随便点击中发帖▎核心漏洞详情与缓解建议 ▎1. Bot API 10.4 消息内嵌应用（QuickJS）沙盒逃逸风险 • 技术成因：Telegram 于 11 月 9 日推出的 Bot API 10.4 支持在聊天消息中直接嵌入交互式应用，并使用 QuickJS 引擎执行 JavaScript 代码

linux.do.饕蹏 (@wushicainiao) 在 TG的来及不明的bot机器人不要随便点击中发帖

▎核心漏洞详情与缓解建议 
▎1. Bot API 10.4 消息内嵌应用（QuickJS）沙盒逃逸风险 
• 技术成因：Telegram 于 11 月 9 日推出的 Bot API 10.4 支持在聊天消息中直接嵌入交互式应用，并使用 QuickJS 引擎执行 JavaScript 代码。11 月 11 日，慢雾创始人余弦等安全研究人员发出警告，指出该功能的沙盒隔离机制存在缺陷，恶意构造的脚本可能突破限制并触发远程代码执行（RCE）。 
• 防御措施：在官方进一步收紧安全隔离前，切勿在群组或私聊中点击、交互来源不明的“消息内嵌应用”。 
截止目前为止可能Windows端还没修复