![[Перевод] Telegram попросил нас молчать об XSS. Мы всё равно публикуем](/api/public/img?url=https%3A%2F%2Fhabrastorage.org%2Fgetpro%2Fhabr%2Fupload_files%2F40e%2F527%2Facf%2F40e527acfb690ae09462c0bb2c7e3b3f.png&s=story&sig=d30cbaee37f02193c24b0de72f1b2b36)
Бот, которого не было в вашей группе, мог спрятать код в сообщении, ждать месяцами и сработать, когда кто‑то экспортирует переписку. Telegram исправил баг молча.
Сначала мы сообщили о баге вендору и молчали до выхода фикса. Тестировали только на своих аккаунтах. Это раскрытие после выхода патча.
Мы нашли хранимую XSS в Telegram Desktop и 3 июня 2026 года сообщили о ней. В июле Telegram выпустил фикс — и отказался одобрить нашу публикацию, хотя проблема уже была исправлена. Мы отказались от вознаграждения и попросили отдать эти деньги на благотворительность; мы также просили согласовать дату публикации. Этот текст — и есть раскрытие. Кода эксплойта здесь нет, живые системы мы не атаковали.
Утро понедельника
