Компания V12 продемонстрировала критическую уязвимость в Telegram для Android, позволявшую удалённо выполнять код через сообщения ботов. В опубликованном 11 ноября видео бот отвечал на команду /start, после чего на смартфоне автоматически запускался калькулятор. Примерно через два часа Telegram подтвердил проблему и сообщил, что исправление было развёрнуто для всех пользователей ещё накануне. По предварительным данным, ошибка затрагивала интерактивные виджеты сообщений и JavaScript-движок QuickJS. Предположительно, исправление вошло в Telegram 13.2.2 (7303), где виджеты перенесли в изолированный процесс. Исследователи не опубликовали код эксплойта или технические подробности. CVE пока не присвоен, случаев эксплуатации в реальных атаках не выявлено. Пользователям Android рекомендуется немедленно обновить Telegram.