Telegram экстренно отключил функцию HTML-виджетов на фоне угрозы безопасности

Shutterstock/FOTODOM/Gunsales
Поделиться
Комментарии

Мессенджер Telegram без предупреждения отключил функцию HTML-виджетов (HTMLBubbles) для всех пользователей. Разработчики деактивировали метод sendWidget в Bot API 10.4 спустя всего несколько месяцев после его громкого запуска.

Что произошло

  • Мгновенная блокировка: Все интерактивные сообщения, созданные с помощью HTML, CSS и JavaScript, превратились в статичные картинки. Мини-игры (включая клоны Wolfenstein 3D и Geometry Dash), живые опросы и калькуляторы, которые ботам удавалось запускать прямо в пузырях чатов, перестали отвечать на нажатия.
  • Причина: Официального релиза от команды Павла Дурова пока не поступало, однако, по данным инсайдеров из каналов TBetaLeak и Telegram Info, отключение связано с критической уязвимостью в движке отрисовки. Исполнение JavaScript-кода внутри защищенной «песочницы» (WidgetSandbox) создавало риск утечки метаданных пользователей и обхода изоляции при простом просмотре ленты чата.
  • Реакция сообщества: Разработчики ботов сообщают о массовых ошибках. «Боты падают от собственного канала, серверы не пускают виджеты туда, куда документация разрешает. Теперь все наши интерактивные механики мертвы», — пишут авторы на профильных ресурсах.

Технические детали отключенной функции

HTMLBubbles появились в стабильной версии Telegram 13.2. Это была революционная технология, позволявшая встраивать полноценные веб-интерфейсы прямо в сообщения без запуска тяжелых Mini Apps.

  • Лимиты: Код виджета не мог превышать 32 КБ, а размер блока был жестко ограничен 600 × 600 пикселями без возможности прокрутки.
  • Безопасность: В коде изначально были запрещены прямые сетевые запросы, внешние скрипты, видео, WebGL и поля ввода. Скрипты работали в изолированной среде с лимитом производительности (не более 300 мс работы процессора в секунду).

Что дальше

На данный момент интерактивные сообщения отображаются как обычные статичные медиафайлы. Пользователи больше не могут взаимодействовать с кнопками внутри чата. Команда Telegram уже убрала документацию по методу sendWidget из открытого репозитория TelegramMessenger/widget-sandbox на GitHub.

По прогнозам экспертов, функция может вернуться в сильно урезанном виде (например, только на базе декларативных кнопок без поддержки JavaScript) не ранее начала 2027 года после полного аудита безопасности движка litehtml. Владельцам каналов рекомендуется срочно заменить все виджеты на стандартные инлайн-кнопки или ссылки на внешние сайты.