#61460 – Срочно обновить до версии с исправлением уязвимости QuickJS в виджетах

Bug 61460 - Срочно обновить до версии с исправлением уязвимости QuickJS в виджетах

Summary: Срочно обновить до версии с исправлением уязвимости QuickJS в виджетах

Status:	RESOLVED FIXED

Alias:	None

Product:	Sisyphus
Classification:	Development
Component:	telegram-desktop (show other bugs)
Version:	unstable
Hardware:	all Linux

Importance:	P2 critical
Assignee:	Vitaly Lipatov
QA Contact:	qa-sisyphus

URL:
Keywords:

Depends on:
Blocks:

Reported:	2026-11-13 13:35 MSK by Ajrat Makhmutov
Modified:	2026-11-13 17:17 MSK (History)
CC List:	2 users (show)

See Also:

Attachments
Add an attachment (proposed patch, testcase, etc.)

Note You need to log in before you can comment on or make changes to this bug.

Description

Ajrat Makhmutov 2026-11-13 13:35:47 MSK

Прошу срочно обновить Telegram Desktop до версии с исправлением уязвимости QuickJS в виджетах, потенциально позволяющей выполнить произвольный код.

Согласно публикации SecurityLab, в версии 7.4.2 отсутствует исправление ca3594d, поэтому обновления только до неё недостаточно. Прошу обеспечить включение исправления upstream в сборку.

Публикация SecurityLab: https://www.securitylab.ru/news/580059.php
Исправление upstream: https://github.com/TelegramMessenger/quickjs/commit/ca3594d

Comment 1

Repository Robot 2026-11-13 17:17:15 MSK

telegram-desktop-7.4.3-alt1 -> sisyphus:

Fri Nov 13 2026 Vitaly Lipatov <lav@altlinux.ru> 7.4.3-alt1
- new version 7.4.3 (closes: #61460)
- bundled QuickJS: refuse "await using" outside async functions
  (use-after-return reachable from widget scripts, quickjs ca3594d)
Thu Nov 12 2026 Vitaly Lipatov <lav@altlinux.ru> 7.4.2-alt1
- new version 7.4.2