▎核心漏洞详情与缓解建议 ▎1. Bot API 10.4 消息内嵌应用（QuickJS）沙盒逃逸风险 • 技术成因：Telegram 于 11 月 9 日推出的 Bot API 10.4 支持在聊天消息中直接嵌入交互式应用，并使用 QuickJS 引擎执行 JavaScript 代码。11 月 11 日，慢雾创始人余弦等安全研究人员发出警告，指出该功能的沙盒隔离机制存在缺陷，恶意构造的脚本可能突破限制并触发远程代码执行（RCE）。 • 防御措施：在官方进一步收紧安全隔离前，切勿在群组或私聊中…