Получил стикер — устройство скомпрометировано. Без клика, без уведомления. Именно это описывает ZDI-CAN-30207 — и именно это Telegram отрицает.
🔍 Оценка CVSS 9.8 — не маркетинг. Математика за ней конкретна: метрика
UI:N (zero-click) даёт коэффициент 0.85 вместо 0.62 при клике. Разница — 9.8 против 8.1. Оба сценария критичны, но zero-click означает массовую эксплуатацию без единого действия жертвы.⚙️ Аналог по вектору — CVE-2019-3568, buffer overflow в WhatsApp VoIP: идентичный CVSS, идентичная схема. Статус ZDI-CAN-30207 сейчас — disputed: ZDI верифицировал, вендор отрицает. Разбираем CVSS-математику, хронологию disclosure и методы инструментирования клиента для мониторинга.
Полный разбор:
https://codeby.net/threads/zero-day-v-telegram-zdi-can-30207-razbor-uyazvimosti-telegram-zero-day-s-otsenkoi-cvss-9-8.92557/