☝🏻Сообщения Telegram начнут запускать JavaScript код

В бете Telegram 12.10.283300 для macOS нашли экспериментальную подсистему HTMLBubbles: это интерактивные сообщения на HTML, CSS и JavaScript, которые работают прямо в ленте чата.🤔

Отдельное окно Mini App открывать не нужно, всё происходит внутри самого «пузыря».

☝🏻В сборке уже лежат 64 демо-сценария:
🔻 карточки товаров с переключением параметров;
🔻 посадочные талоны;
🔻 списки задач;
🔻 даже шахматы.🎮

Под капотом лёгкий движок litehtml: он разбирает HTML и CSS и считает, где стоят элементы, а текст и картинки рисует уже само приложение средствами macOS.💻

Веб-стандарты движок поддерживает лишь частично, полноценным браузером он не станет.

☝🏻Песочница строгая: нет document, window, fetch, XMLHttpRequest и сокетов, внешние картинки по HTTP(S) заблокированы, а теги video, audio, iframe и canvas игнорируются.🔒

Скрипту дают не больше 50 мс на один вызов и 200 мс в секунду суммарно, плюс до 16 таймеров. Если лимит превышен или случилась ошибка, виджет показывает статическую HTML-версию.⚡️

Ограничения выглядят разумно. Но любой код в чужом сообщении — это новая поверхность атаки, и вопрос только в том, как скоро её начнут ковырять.👁
================
👁 News | 👁 Soft | 👁 Hacker