Hacker News Digest

Telegram Desktop уязвим к однокликовому захвату аккаунта через локальный сокет межпроцессного взаимодействия (IPC). При запуске второй экземпляр приложения передаёт ссылку уже запущенному процессу в виде текста через сокет, используя точку с запятой как разделитель команд. Поскольку символ ; не экранируется в передаваемой строке, злоумышленник может внедрить дополнительные команды, подменив ссылку вида tg://x?a=1;OPEN:interpret://path/to/file. Это позволяет выполнить произвольную команду interpret:, которая читает локальный файл и отправляет его в чат без проверки отправителя или подтверждения пользователя.

Эта цепочка приводит к удалённому чтению произвольных файлов с устройства жертвы, включая файлы сессии Telegram (например, tdata), которые могут быть эксфильтрированы в чат, контролируемый атакующим, что приводит к полному захвату аккаунта. Уязвимость присутствует в версиях до 7.2.8 и подтверждена на Windows (6.9.3). Исправление выпущено в версии 7.2.9 (коммит db3405699f): добавлено экранирование точки с запятой через процентно-кодированный hex, удалена поддержка опасной схемы interpret:, а также введены фильтрация команд CMD: и CTRL: и отбрасывание локальных путей после нелокального URL. CVE-2026-107181 присвоен с оценкой严重ности 8.1 (High).

Тред дополняет статью реальными мнениями о масштабе уязвимости, спором о её специфичности, опытом использования sandbox‐технологий, критикой задержки исправления и рекомендациями по безопасному использованию Telegram Desktop. Спор: Некоторые считают уязвимость общей для всех современных ОС, позволяющей процессу пользователя читать/записывать любые файлы; другие настаивают, что без бага в Telegram эксплойт был бы невозможен. Большинство советуют изолировать Telegram Desktop через контейнеры, виртуальные машины или sandbox‐технологии (firejail, bubblewrap), чтобы ограничить доступ к файловой системе. Совет: Обеспокоенным пользователям рекомендуется использовать веб‐клиент Telegram вместо десктопного, хотя он не обеспечивает сквозное шифрование. Некоторые отмечают, что macOS по умолчанию применяет песочницу к пользовательским папкам, требуя явного разрешения, что ограничивает атаки. В ответ указывают, что в macOS тоже есть уязвимости, позволяющие обойти песочницу (пример: Dropbox). Отчёт о баге отправлен 25 июня, исправление вышло 16 сентября — критика за длительную реакцию разработчиков. Совет: Регулярно проверять обновления и использовать автоматическое обновление для быстрого получения патчей. Обсуждение подчёркивает, что уязвимость позволяла не только захватить аккаунт, но и скопировать любой файл, доступный пользователю, что значительно расширяет потенциальный ущерб.

Scott Jenson, бывший дизайнер UX в Apple и Google, призывает открытые проекты выйти за рамки устаревшей модели WIMP (окна, значки, меню, указатель) и экспериментировать с новыми подходами к рабочему столу. Он отмечает, что открытые системы страдают от нехватки ресурсов и слабого внимания к деталям UX — например, в Linux при перетаскивании файлов окно поднимается при нажатии мыши, а не при отпускании, как в macOS, что мешает точному управлению. Jenson привёл в пример свои прототипы: умное отображение длинных имён файлов с эллипсами посередине и система анализа истории использования на основе временных сигналов, а не ИИ, чтобы показать, где пользователь провёл время.

Он подчеркнул, что цель — не навязывать решения, а вдохновить сообщество на эксперименты. На вопрос о приватности, сравнив с Windows Recall, он признал риски, но утверждает, что его подход собирает «неинтересные» данные, а не детальные снимки экрана, что снижает ценность для хакеров. Он не предлагает шифрование изначально — сначала нужно проверить, полезна ли сама идея, а потом уже решать безопасность. Главное, по его мнению — начать, потому что никто другой этого не делает.

Современный open-source desktop не страдает от отсутствия инноваций, а от нестабильности и разрушения рабочих процессов. Пользователи ценят стабильность, настраиваемость и предсказуемость выше экспериментов с UX. Многие предпочитают стабильные среды (MATE, XFCE, KDE), где настройки сохраняются и не ломаются обновлениями, а не экспериментальные интерфейсы, которые могут исчезнуть. Тайлинг-менеджеры (Hyprland, Sway, herbstluftwm) эффективны для управления окнами среди опытных пользователей, но не подходят для ноутбуков или малых экранов. Есть спор: некоторые считают WIMP устаревшим и требующим замены (например, разделение приложений на данные + правила + UI), другие утверждают, что WIMP оптимален, а проблемы — в приложениях, а не в ОС. Проблема не в отсутствии идей, а в том, что большинство инноваций (Compiz, Ubuntu One, KDE 4) не доведены до устойчивого состояния и не выдержали тест времени. Пользователи с опытом работы на NeXTStep отмечают, что его интеграция и целостность интерфейса остаются эталоном, которого не достигли ни GNOME, ни KDE. Современные Linux-десктопы (особенно с Hyprland) уже превосходят Windows и macOS по функциональности и настраиваемости — проблема не в отсталости, а в восприятии. Совет: улучшение clipboard-менеджера с поддержкой истории и семантического поиска — более реалистичный и полезный шаг, чем радикальная переработка интерфейса. Пользователи, работающие с облачными сервисами и headless-серверами, не нуждаются в сложных графических интерфейсах — им важна быстрая CLI-доступность, а не визуальные новшества. Проблема разрешений в Linux — пользователь не доверяет приложениям, но приложения доверяют пользователю, в отличие от мобильных систем, где всё наоборот — это критическая уязвимость. Wayland пока не позволяет запоминать положение и размер окон между сессиями — фундаментальная проблема, мешающая даже базовому UX, которую игнорируют разработчики. Семантический поиск и Raycast-подобные лаунчеры — более ценные улучшения, чем изменение структуры рабочего стола, потому что они решают реальную боль: поиск и запуск. Инновации в UI, которые не решают конкретную проблему, а просто выглядят «современно», воспринимаются как пустая трата ресурсов и раздражают опытных пользователей. Пользователи, которые годами настраивали свои рабочие среды, воспринимают любые крупные изменения как угрозу — это не сопротивление прогрессу, а рациональная защита продуктивности. Совет: инновации должны быть модульными и опциональными — например, внедрить лаунчер Omarchy или кастомные виджеты Hyprland, не переписывая всю среду. Большинство UX-проблем лежат не на уровне ОС, а в приложениях — многие FOSS-приложения выглядят как Windows XP с кучей несогласованных инструментов и тулбаров.

Deno’s runtime includes a dedicated section for desktop application development, offering a full suite of tools and APIs to build cross‑platform GUI programs. It walks developers through project setup, backend integration, HTTP serving, framework choices, and OS‑specific packaging, while also covering advanced features such as WebGPU rendering, hot‑module replacement, DevTools, auto‑update mechanisms, error reporting, and distribution pipelines.

The guide is organized into many subsections—configuration, backends, serving, frameworks, Windows, WebGPU, bindings, menus, tray & dock, dialogs, notifications, HMR, DevTools, auto‑update, error reporting, distribution, and comparison—allowing developers to pick the exact capabilities they need. Notable points include built‑in auto‑update support, WebGPU for modern graphics, and a modular architecture that lets you enable only the pieces you use, making large‑scale desktop projects more maintainable. It also details testing approaches, continuous‑integration hooks, and the CLI commands for scaffolding, bundling, and publishing desktop applications. Security is built‑in, requiring explicit permissions for file, network, and environment access, while TypeScript is supported natively. The documentation also compares different frameworks, helping developers choose the most suitable one for their use case.

• Обсуждается внедрение общего CEF‑рантайма для Deno Desktop, чтобы сократить размер бинарников до нескольких мегабайт.
• Планируется интеграция с системой прав Deno, чтобы пользователь мог удобно просматривать и управлять разрешениями.
• Сравнение с Tauri и другими решениями: возможность использования собственного CEF, несколько бекендов (CEF, WebView, raw) и вопросы размера пакетов.
• Текущий размер приложений остаётся высоким (от 15 МБ с сжатием до 40‑440 МБ), вызывают вопросы по оптимизации и будущей поддержке мобильных платформ.

Snapchat представил Valdi — кроссплатформенный UI-фреймворк, который обеспечивает нативную производительность без потери скорости разработки. Решение ориентировано на создание высокопроизводительных интерфейсов для мобильных и десктопных приложений, используя единый кодовый баз.

Ключевая особенность Valdi — способность достигать производительности, сопоставимой с нативными решениями, при этом сохраняя преимущества кроссплатформенности. Фреймворк призван решить проблему компромиссов между производительностью и эффективностью разработки, с которой сталкиваются команды при создании сложных UI. Snapchat позиционирует Valdi как инструмент для ускорения цикла разработки без ущерба для качества пользовательского опыта.

• Разочарование в существующих кроссплатформенных решениях (React Native, WebView) и надежды на Valdi как альтернативу с нативной производительностью.
• Критика Valdi: сложность, отсутствие поддержки Linux/Windows, сомнения в качестве кода Snapchat и его Android-приложения.
• Альтернативные подходы: нативная разработка, Kotlin Multiplatform, PWA, а также сомнения в необходимости кроссплатформенности при наличии AI.
• Технические вопросы: отсутствие поддержки Swift, сложность нативной интеграции, сравнение с другими фреймворками (Boden, Lynx.js).
• Философский спор: стоит ли жертвовать нативным UX ради кроссплатформенности или писать UI отдельно для каждой платформы.

• Framework Laptop 16 — предзаказы открыты
• Desktop — обзор, запчасти, документация, конфигуратор
• Laptop 12 — обзор, запчасти, документация, конфигуратор
• Laptop 13 — обзор, запчасти, документация, конфигуратор
• Laptop 16 — обзор, запчасти, документация, конфигуратор

Магазин

• Всё
• Outlet
• Ноутбуки
• Десктопы
• Материнки
• Модули расширения
• Память и накопители
• Клавиатуры
• Запчасти
• Инструменты
• ПО
• Мерч

Поддержка

• Linux
• Форум
• База знаний
• Запрос в поддержку

О компании

• О нас
• Устойчивость
• Блог
• Вакансии

• Пользователи жалуются на отсутствие WWAN-модуля, мелкие стрелки и нехватку клавиш Home/End.
• Радуются AMD-видеокартам как более «линуксовским», но спорят о проблемах NVIDIA.
• Цена новой сборки (≈ $4000) вызывает шок: «дороже, чем игровой ROG с RTX 3080».
• Вопрошают о реальной экономике модульности, сроках поставки в Японию и о OLED-экранах.
• Любители Linux спрашивают о «из коробки» и просят ThinkPad-стильный trackpoint.