# bikini/telejam

> Репозиторий по безопасности с описанием трёх ошибок работы с памятью в QuickJS, встроенном в песочницу виджетов Telegram Desktop, включая две независимые RCE-цепочки, запускающие Калькулятор из виджета, доставленного ботом.

- Магнитуда: 4,8 из 10 — Ранний сигнал
- Звёзды: 173 всего · +11 звёзд по замерам 2026-11-14, 00:03–11:13 UTC, к вечеру ≈ 33
- Доверие к звёздам: рост звёзд выглядит естественно
- Категория: Безопасность · Язык: HTML · Создан: 2026-11-12 · Последний коммит: 2026-11-12
- GitHub: https://github.com/bikini/telejam · Страница: https://gitnova.dev/r/bikini/telejam

## Чем пригодится

- Изучить цепочку use-after-return с await using, чтобы понять, как подделанный JSVarRef даёт произвольное чтение и запись.
- Воспроизвести PoC use-after-free в прологе генератора на зафиксированной сборке QuickJS для проверки исправления.
- Проверить, содержит ли ваша версия QuickJS или quickjs-ng ошибку cpool_add с отрицательным индексом.

## Почему он здесь

- По замерам счётчика за 2026-11-14 (UTC), 00:03–11:13: 162 → 173 звёзд (+11). Это прирост за указанный интервал.
- Расчётный прогноз на конец суток: около +33 звёзд; учитывает наблюдаемый прирост и предыдущий день.
- Репозиторию 2 дня, а у него уже 173 звезды. Истории меньше двух недель, так что обычного темпа, с которым можно сравнить всплеск, у него ещё нет.
- Около 18 форков в сутки — код забирают себе.
- Среди свежих форков — заметные разработчики: @CrackerCat (1 099 подп.).

## Доверие к звёздам

Рост звёзд выглядит естественно.

Метки доверия к звёздам — эвристики по поведению репозитория, а не проверка каждого, кто поставил звезду.

## Цифры

- Форков: 60
- Issues и pull requests: 0
- Наблюдателей: 2
- В среднем за неделю: 66 в день
- Обычный темп: мало истории (меньше двух недель)
- Звёзд за последний час (по замерам): 2

## Звёзды по дням за 3 дня (от старых к новым, сегодня — неполный день)

2026-11-12 … 2026-11-14: 110, 57, 11

## Магнитуда по дням за 2 дня

11-13 5,9, 11-14 5,0

## Ещё в этой категории

1. **duwqijlk/muse-protocol** — 7,2 · Ранний сигнал · Безопасность · Python · +179 звёзд по замерам 2026-11-14, 04:58–11:13 UTC, к вечеру ≈ 273
   Реверс-инжиниринг протокола регистрации и активации инвайт-кодов muse.ai на чистом HTTP через Python, без браузера. Описывает последовательность API-запросов, cookie и типичные ошибки.
   Полная карточка: https://gitnova.dev/r/duwqijlk/muse-protocol.md
2. **openai/codex-security** — 7,2 · Взлёт · Безопасность · TypeScript · +251 звезда по замерам 2026-11-14, 00:03–11:13 UTC, к вечеру ≈ 552
   CLI и TypeScript SDK от OpenAI для поиска, проверки и исправления уязвимостей в коде, а также для описания политики безопасности в SECURITY.md.
   Полная карточка: https://gitnova.dev/r/openai/codex-security.md
3. **failsafe-security/artex** — 6,1 · Ранний сигнал · Безопасность · Go · +73 звезды по замерам 2026-11-14, 00:03–11:13 UTC, к вечеру ≈ 162
   Собранная из исходников локальная сборка ARTEX — открытого мультиагентного фреймворка для тестирования безопасности, созданная после обнаружения бэкдора в официальном Docker-образе.
   Полная карточка: https://gitnova.dev/r/failsafe-security/artex.md
4. **huamidev/GestaltX** — 5,5 · Остывает · Безопасность · Swift · +170 звёзд по замерам 2026-11-14, 00:03–11:13 UTC, к вечеру ≈ 357
   Редактор MobileGestalt для iPhone и iPad на iOS/iPadOS 27.x: меняет регион-код, пресеты функций устройства, флаги Apple Intelligence и поля CacheExtra с бэкапами и откатом. Для исследователей безопасности и владельцев устройств.
   Полная карточка: https://gitnova.dev/r/huamidev/GestaltX.md
5. **brisk-thrush-husky/malware-defender-desktop** — 5,1 · Ранний сигнал · Безопасность · C++ · +105 звёзд по замерам 2026-11-14, 06:23–11:13 UTC, к вечеру ≈ 160
   Автономная сборка Malware Defender 2026 для Windows 10/11 x64: антивирусный сканер с локальными сигнатурами, карантином и обновлением баз из архива без выхода в сеть.
   Полная карточка: https://gitnova.dev/r/brisk-thrush-husky/malware-defender-desktop.md

---

Магнитуда (0–10) — насколько быстро и необычно сейчас растёт интерес к репозиторию. Это не оценка качества.
Дни — по UTC. «Уже сегодня» — факт, «к вечеру ≈» — прогноз.
Описания и сценарии пишет модель (DeepSeek V4.1 Flash) по README, в деталях возможны ошибки: конкретные утверждения (замеры, скорость, железо) проверяйте в самом репозитории.
Данные на 2026-11-14 11:22 UTC, обновление каждые 30 минут.