Пост
Цей пост за його id.
https://api.web3aggregator.io/api/v1/posts/18197 curl -H "Authorization: Bearer $W3A_API_KEY" 'https://api.web3aggregator.io/api/v1/posts/18197'Потрібен ключ: W3A_API_KEY в оточенні.
API віддає одне це повідомлення: інші частини альбому там — окремі пости, пов'язані полем album.
Документація APIНе потеряй всю крипту на телефоне из-за стикера
*обнаружена Zero-click уязвимость в Telegram через анимированные стикеры
Исследователь Сайфелдин Азиз сегодня на OffensiveCon Tokyo показал цепочку уязвимостей, которая позволяет выполнить код на устройстве просто при получении стикера
!без открытия чата!!!
!!! без каких-либо действий пользователя!!!
Суть:
• Баги в библиотеке отрисовки стикеров rlottie (повреждения памяти, найденные через фаззинг с помощью LLM)
• Логические ошибки в механизме доставки и проверки стикеров на стороне Telegram
• Исследователь обошёл серверную валидацию, которую Telegram раньше называл полной защитой
• Цепочка даёт выполнение кода на iOS
Важный контекст:
• Это развитие более раннего бага (CVE-2026-111105), который Telegram пытался закрыть серверными проверками
• Telegram уже перешёл на новую библиотеку tlottie (переписана на Rust) на Desktop, Android, macOS и iOS (с сентября). Это закрывает класс memory-багов, но статус логических ошибок неизвестен
• Официального ответа от Telegram по конкретно этой цепочке пока нет. Полных публичных деталей эксплойта тоже нет
Даже если уязвимость уже закрыта заменой библиотеки, это наглядный пример, что клиент Telegram - это не «просто мессенджер». Компрометация устройства через него = доступ к сид-фразам, перепискам с биржами, кошельками и админами.
прямо сейчас:
• Обновите Telegram до последней версии на всех устройствах
• В настройках приватности максимально ограничьте, кто может писать вам (контакты / Premium)
• Не принимайте стикеры и файлы от незнакомых аккаунтов
• Критичные переписки и сиды держите не на айфоне
Здоровья погибшим!
*сколько работяг потеряли деньги, потому что Азиз ждал начала конфы в Токио?
*обнаружена Zero-click уязвимость в Telegram через анимированные стикеры
Исследователь Сайфелдин Азиз сегодня на OffensiveCon Tokyo показал цепочку уязвимостей, которая позволяет выполнить код на устройстве просто при получении стикера
!без открытия чата!!!
!!! без каких-либо действий пользователя!!!
Суть:
• Баги в библиотеке отрисовки стикеров rlottie (повреждения памяти, найденные через фаззинг с помощью LLM)
• Логические ошибки в механизме доставки и проверки стикеров на стороне Telegram
• Исследователь обошёл серверную валидацию, которую Telegram раньше называл полной защитой
• Цепочка даёт выполнение кода на iOS
Важный контекст:
• Это развитие более раннего бага (CVE-2026-111105), который Telegram пытался закрыть серверными проверками
• Telegram уже перешёл на новую библиотеку tlottie (переписана на Rust) на Desktop, Android, macOS и iOS (с сентября). Это закрывает класс memory-багов, но статус логических ошибок неизвестен
• Официального ответа от Telegram по конкретно этой цепочке пока нет. Полных публичных деталей эксплойта тоже нет
Даже если уязвимость уже закрыта заменой библиотеки, это наглядный пример, что клиент Telegram - это не «просто мессенджер». Компрометация устройства через него = доступ к сид-фразам, перепискам с биржами, кошельками и админами.
прямо сейчас:
• Обновите Telegram до последней версии на всех устройствах
• В настройках приватности максимально ограничьте, кто может писать вам (контакты / Premium)
• Не принимайте стикеры и файлы от незнакомых аккаунтов
• Критичные переписки и сиды держите не на айфоне
Здоровья погибшим!
*сколько работяг потеряли деньги, потому что Азиз ждал начала конфы в Токио?