Telegram можно уронить стикером весом всего 269 байт

Внутри безобидного на вид стикера спрятана маленькая звёздочка, которой прописали 10³⁸ точек — единицу с 38 нулями.

Свежий Android такое безумие замечает и просто отказывается рисовать больше 128 точек. А вот Telegram Desktop, как утверждается, ограничение не поставил: получает число с 38 нулями, пытается выделить память и построить гигантскую звезду.

На уязвимых версиях иногда даже ничего нажимать не нужно — стикер появляется в чате, Telegram начинает его отрисовывать и просто закрывается. Это не вирус и аккаунт не крадёт, но файл можно разослать по чатам и устроить массовые краши.

Самое ироничное: Telegram запрещает такие звёзды при создании стикеров, но готовый файл всё равно может попасть на серверы и распространяться дальше.

По данным автора исследования, исправление рендерера существует ещё с мая, однако до Desktop-версии оно якобы так и не дошло.