Bug 61460

Summary:	Срочно обновить до версии с исправлением уязвимости QuickJS в виджетах
Product:	Sisyphus	Reporter:	Ajrat Makhmutov <rauty>
Component:	telegram-desktop	Assignee:	Vitaly Lipatov <lav>
Status:	RESOLVED FIXED	QA Contact:	qa-sisyphus
Severity:	critical
Priority:	P2	CC:	lav, zerg
Version:	unstable
Hardware:	all
OS:	Linux

Description

Ajrat Makhmutov 2026-11-13 13:35:47 MSK

Прошу срочно обновить Telegram Desktop до версии с исправлением уязвимости QuickJS в виджетах, потенциально позволяющей выполнить произвольный код.

Согласно публикации SecurityLab, в версии 7.4.2 отсутствует исправление ca3594d, поэтому обновления только до неё недостаточно. Прошу обеспечить включение исправления upstream в сборку.

Публикация SecurityLab: https://www.securitylab.ru/news/580059.php
Исправление upstream: https://github.com/TelegramMessenger/quickjs/commit/ca3594d

Comment 1

Repository Robot 2026-11-13 17:17:15 MSK

telegram-desktop-7.4.3-alt1 -> sisyphus:

Fri Nov 13 2026 Vitaly Lipatov <lav@altlinux.ru> 7.4.3-alt1
- new version 7.4.3 (closes: #61460)
- bundled QuickJS: refuse "await using" outside async functions
  (use-after-return reachable from widget scripts, quickjs ca3594d)
Thu Nov 12 2026 Vitaly Lipatov <lav@altlinux.ru> 7.4.2-alt1
- new version 7.4.2