https://habr.com/ru/news/1100814/ Подробности эксплуатации пока не раскрывают. Но эксплуатация через стикеры не выглядит таким уж невозможных событием.

p.s. Там команда тг все грозится html сообщения реализовать. И тут я более чем уверен - дыр будет гора и ложечка сверху. Получим xss внутри мессенджера :D