Канал TGBetaLeak обнаружил в бета-версии Telegram для macOS (версия 12.10.283300) новую экспериментальную подсистему под названием HTMLBubblesi. Она позволяет превращать обычные сообщения в интерактивные виджеты на основе HTML, CSS и JavaScript прямо в ленте чата — без запуска отдельного окна Web Mini Appi.

Идея в том, чтобы сообщения могли содержать карточки товаров с переключаемыми параметрами, интерактивные посадочные талоны, живые графики или даже партию в шахматы. Редакция @tginfo подтвердила факт наличия такого модуля в коде указанной версии, но не механику его работы, и выразила опасения по поводу безопасности такого нововведения.

• Для отрисовки используется компактный движок litehtmli
• Скрипты исполняются в жёсткой песочнице: ограничение по CPU, блокировка сетевых запросов, запрет на загрузку внешних медиа
• Примеры заявленных сценариев использования: карточки товаров с переключением параметров, интерактивные посадочные талоны, живые графики, шахматная партия
• Редакция @tginfo поверхностно подтверждает появление модуля в коде версии 12.10.283300, но описанное поведение и механика работы независимо не подтверждались
• Опасение редакции @tginfo: интеграция веб-движка с исполнением JavaScript в интерфейс переписки несёт риск — уязвимости в системах рендеринга регулярно находят даже в изолированных средах
• Сейчас HTMLBubbles — ранний экспериментальный концепт, тестируемый внутри команды Telegram; функцию могут сильно изменить или полностью отменить