Telegram постоянно пытается закрыть дыру через серверную фильтрацию, но на практике обходы часто находятся именно там, где она ослаблена – в клиентах. Особенно подозрительны собственные форматы вроде TGS, которые не так тщательно тестируют, как стандартные библиотеки. Пока детали ZDI-CAN-30207 не раскрыли, лучше перестраховаться и отключить автозагрузку медиа, хотя это и не панацея. Вот так.