Telegram запускает JavaScript код в сообщениях через HTMLBubbles

В бета-версии Telegram для macOS обнаружена экспериментальная подсистема HTMLBubbles, позволяющая запускать интерактивные сообщения с использованием HTML, CSS и JavaScript непосредственно в ленте чата.

Функционал работает без открытия отдельного окна Mini App, интегрируясь прямо в интерфейс мессенджера. В текущей сборке доступно 64 демонстрационных сценария, включая карточки товаров с переключением параметров, посадочные талоны, списки задач и даже игру в шахматы.

За обработку контента отвечает лёгкий движок litehtml, который парсит HTML и CSS, определяя расположение элементов, а рендеринг текста и изображений осуществляется средствами операционной системы macOS. Движок поддерживает веб-стандарты лишь частично и не является полноценным браузером.

Песочница имеет строгие ограничения безопасности: скриптам недоступны объекты document, window, fetch, XMLHttpRequest и сокеты. Внешние изображения по протоколам HTTP(S) заблокированы, а теги video, audio, iframe и canvas игнорируются.

• Выполнение скрипта ограничено 50 мс на один вызов и 200 мс суммарно в секунду
• Допускается использование не более 16 таймеров одновременно
• При превышении лимитов или ошибках виджет отображает статическую HTML-версию

Несмотря на разумность ограничений, внедрение исполняемого кода в чаты создает новую поверхность для потенциальных кибератак, что требует тщательного мониторинга со стороны сообщества информационной безопасности.

litehtml движок