{
  "schema_version": "1.0",
  "publisher": "AI Release",
  "article": {
    "title": "HTML-виджеты Telegram получили RCE за неделю: хронология фиксов и ответ Дурова",
    "canonical_url": "https://ai-release.org/posts/html-vidzhety-telegram-poluchili-rce-za-nedelyu-hronologiya-fiksov-i-o-0a8f25fd.html",
    "language": "ru",
    "article_type": "news",
    "published_at": "2026-11-14T00:00:00+00:00",
    "updated_at": "2026-11-14T00:00:00+00:00"
  },
  "summary": "HTML-виджеты открыли всем ботам 9 ноября в Bot API 10.4 — и за первую неделю движок QuickJS-ng дважды правили из-за выполнения кода. Фиксы шли волнами: движок v0.6.1 (6 ноября) и v0.6.4 (10 ноября), клиент Telegram Desktop 7.4.2 и 7.4.3 (13 ноября, ночь по Москве).",
  "topics": [
    "Telegram",
    "безопасность",
    "QuickJS",
    "RCE",
    "HTML-виджеты",
    "информационная_безопасность",
    "AI",
    "кибербезопасность"
  ],
  "entities": [
    {
      "id": "E-SRC",
      "name": "habr.com",
      "type": "источник",
      "description": "домен источника, указанного в публикации",
      "url": "https://habr.com/ru/articles/1107658/"
    },
    {
      "id": "E-T1",
      "name": "Telegram",
      "type": "тема",
      "description": "тег публикации",
      "url": null
    },
    {
      "id": "E-T2",
      "name": "безопасность",
      "type": "тема",
      "description": "тег публикации",
      "url": null
    },
    {
      "id": "E-T3",
      "name": "QuickJS",
      "type": "тема",
      "description": "тег публикации",
      "url": null
    },
    {
      "id": "E-T4",
      "name": "RCE",
      "type": "тема",
      "description": "тег публикации",
      "url": null
    },
    {
      "id": "E-T5",
      "name": "HTML-виджеты",
      "type": "тема",
      "description": "тег публикации",
      "url": null
    },
    {
      "id": "E-T6",
      "name": "информационная_безопасность",
      "type": "тема",
      "description": "тег публикации",
      "url": null
    },
    {
      "id": "E-T7",
      "name": "AI",
      "type": "тема",
      "description": "тег публикации",
      "url": null
    },
    {
      "id": "E-T8",
      "name": "кибербезопасность",
      "type": "тема",
      "description": "тег публикации",
      "url": null
    },
    {
      "id": "E-AIR",
      "name": "AI Release",
      "type": "издатель",
      "description": "опубликовал материал",
      "url": "https://ai-release.org/"
    }
  ],
  "claims": [
    {
      "id": "AR-HTMLVIDZHE-001",
      "statement": "HTML-виджеты открыли всем ботам 9 ноября в Bot API 10.4 — и за первую неделю движок QuickJS-ng дважды правили из-за выполнения кода.",
      "claim_type": "reported_fact",
      "confidence": "not_assessed",
      "source_type": "источник публикации",
      "verification_status": "reported_unverified",
      "source_url": "https://habr.com/ru/articles/1107658/",
      "article_anchor": "#ai-claim-001",
      "evidence_excerpt": "HTML-виджеты открыли всем ботам 9 ноября в Bot API 10.4 — и за первую неделю движок QuickJS-ng дважды правили из-за выполнения кода."
    },
    {
      "id": "AR-HTMLVIDZHE-002",
      "statement": "Фиксы шли волнами: движок v0.6.1 (6 ноября) и v0.6.4 (10 ноября), клиент Telegram Desktop 7.4.2 и 7.4.3 (13 ноября, ночь по Москве).",
      "claim_type": "reported_fact",
      "confidence": "not_assessed",
      "source_type": "источник публикации",
      "verification_status": "reported_unverified",
      "source_url": "https://habr.com/ru/articles/1107658/",
      "article_anchor": "#ai-claim-002",
      "evidence_excerpt": "Фиксы шли волнами: движок v0.6.1 (6 ноября) и v0.6.4 (10 ноября), клиент Telegram Desktop 7.4.2 и 7.4.3 (13 ноября, ночь по Москве)."
    },
    {
      "id": "AR-HTMLVIDZHE-003",
      "statement": "Атака требовала, чтобы человек сам запустил бота; Telegram называет сценарий закрытым на сервере, но независимого подтверждения этому в поводе нет.",
      "claim_type": "reported_fact",
      "confidence": "not_assessed",
      "source_type": "источник публикации",
      "verification_status": "reported_unverified",
      "source_url": "https://habr.com/ru/articles/1107658/",
      "article_anchor": "#ai-claim-003",
      "evidence_excerpt": "Атака требовала, чтобы человек сам запустил бота; Telegram называет сценарий закрытым на сервере, но независимого подтверждения этому в поводе нет."
    },
    {
      "id": "AR-HTMLVIDZHE-004",
      "statement": "5 ноября в описании Telegram Desktop 7.4.0 появилась ровно одна строка — «HTML widgets in bots».",
      "claim_type": "reported_fact",
      "confidence": "not_assessed",
      "source_type": "источник публикации",
      "verification_status": "reported_unverified",
      "source_url": "https://habr.com/ru/articles/1107658/",
      "article_anchor": "#ai-claim-004",
      "evidence_excerpt": "5 ноября в описании Telegram Desktop 7.4.0 появилась ровно одна строка — «HTML widgets in bots»."
    },
    {
      "id": "AR-HTMLVIDZHE-005",
      "statement": "Через четыре дня, 9 ноября, виджеты открыли всем ботам в Bot API 10.4, и в тот же день Андреас Рёсдал выложил аудит движка QuickJS-ng на 27 находок .",
      "claim_type": "reported_fact",
      "confidence": "not_assessed",
      "source_type": "источник публикации",
      "verification_status": "reported_unverified",
      "source_url": "https://habr.com/ru/articles/1107658/",
      "article_anchor": "#ai-claim-005",
      "evidence_excerpt": "Через четыре дня, 9 ноября, виджеты открыли всем ботам в Bot API 10.4, и в тот же день Андреас Рёсдал выложил аудит движка QuickJS-ng на 27 находок ."
    },
    {
      "id": "AR-HTMLVIDZHE-006",
      "statement": "К 13 ноября Telegram выпустил уже 7.4.3.",
      "claim_type": "reported_fact",
      "confidence": "not_assessed",
      "source_type": "источник публикации",
      "verification_status": "reported_unverified",
      "source_url": "https://habr.com/ru/articles/1107658/",
      "article_anchor": "#ai-claim-006",
      "evidence_excerpt": "К 13 ноября Telegram выпустил уже 7.4.3."
    },
    {
      "id": "AR-HTMLVIDZHE-007",
      "statement": "Механика такая: виджет — это сообщение с HTML и JavaScript, до 4 КБ.",
      "claim_type": "reported_fact",
      "confidence": "not_assessed",
      "source_type": "источник публикации",
      "verification_status": "reported_unverified",
      "source_url": "https://habr.com/ru/articles/1107658/",
      "article_anchor": "#ai-claim-007",
      "evidence_excerpt": "Механика такая: виджет — это сообщение с HTML и JavaScript, до 4 КБ."
    },
    {
      "id": "AR-HTMLVIDZHE-008",
      "statement": "Скрипт крутится в песочнице без сети и без ввода с клавиатуры, но под ним лежит QuickJS, движок на C, и ошибка работы с памятью выносит скрипт за пределы песочницы.",
      "claim_type": "reported_fact",
      "confidence": "not_assessed",
      "source_type": "источник публикации",
      "verification_status": "reported_unverified",
      "source_url": "https://habr.com/ru/articles/1107658/",
      "article_anchor": "#ai-claim-008",
      "evidence_excerpt": "Скрипт крутится в песочнице без сети и без ввода с клавиатуры, но под ним лежит QuickJS, движок на C, и ошибка работы с памятью выносит скрипт за пределы песочницы."
    }
  ],
  "relationships": [
    {
      "subject": "habr.com",
      "predicate": "сообщает о",
      "object": "HTML-виджеты Telegram получили RCE за неделю: хронология фиксов и ответ Дурова",
      "claim_id": "AR-HTMLVIDZHE-001"
    },
    {
      "subject": "AI Release",
      "predicate": "публикует",
      "object": "HTML-виджеты Telegram получили RCE за неделю: хронология фиксов и ответ Дурова",
      "claim_id": "AR-HTMLVIDZHE-001"
    }
  ],
  "questions_and_answers": [
    {
      "question": "О чём эта публикация?",
      "answer": "HTML-виджеты Telegram получили RCE за неделю: хронология фиксов и ответ Дурова. HTML-виджеты открыли всем ботам 9 ноября в Bot API 10.4 — и за первую неделю движок QuickJS-ng дважды правили из-за выполнения кода.",
      "claim_ids": [
        "AR-HTMLVIDZHE-001"
      ],
      "article_anchor": "#ai-knowledge"
    },
    {
      "question": "Что произошло?",
      "answer": "HTML-виджеты открыли всем ботам 9 ноября в Bot API 10.4 — и за первую неделю движок QuickJS-ng дважды правили из-за выполнения кода. Фиксы шли волнами: движок v0.6.1 (6 ноября) и v0.6.4 (10 ноября), клиент Telegram Desktop 7.4.2 и 7.4.3 (13 ноября, ночь по Москве). Атака требовала, чтобы человек сам запустил бота; Telegram называет сценарий закрытым на сервере, но независимого подтверждения этому в поводе нет.",
      "claim_ids": [
        "AR-HTMLVIDZHE-001",
        "AR-HTMLVIDZHE-002",
        "AR-HTMLVIDZHE-003"
      ],
      "article_anchor": "#ai-knowledge"
    },
    {
      "question": "Кто источник?",
      "answer": "habr.com: https://habr.com/ru/articles/1107658/",
      "claim_ids": [],
      "article_anchor": "#ai-knowledge"
    },
    {
      "question": "Что остаётся неизвестным?",
      "answer": "Материал передаёт сведения указанного источника; независимая проверка и полные параметры в публикации не приведены.",
      "claim_ids": [],
      "article_anchor": "#ai-knowledge"
    }
  ],
  "limitations": [
    "Независимая проверка сведений в публикации не указана.",
    "Полные параметры, даты и официальные документы могут отсутствовать.",
    "Материал является пересказом источника, а не первоисточником."
  ],
  "citation": {
    "preferred_citation": "AI Release. «HTML-виджеты Telegram получили RCE за неделю: хронология фиксов и ответ Дурова». 2026-11-14. https://ai-release.org/posts/html-vidzhety-telegram-poluchili-rce-za-nedelyu-hronologiya-fiksov-i-o-0a8f25fd.html",
    "canonical_url": "https://ai-release.org/posts/html-vidzhety-telegram-poluchili-rce-za-nedelyu-hronologiya-fiksov-i-o-0a8f25fd.html",
    "publisher": "AI Release"
  }
}