I ricercatori affermano che un link pubblico di condivisione di ChatGPT poteva eseguire codice nella sessione della vittima; OpenAI ha risolto il problema il 26 ottobre

Il 28 ottobre la società di sicurezza Parameter ha pubblicato un resoconto in cui afferma che i suoi ricercatori hanno trovato un modo per eseguire JavaScript controllato da un aggressore nella sessione ChatGPT autenticata di chiunque aprisse una condivisione pubblica di una conversazione. Secondo il resoconto, OpenAI ha risolto il problema il 26 ottobre e ha classificato la segnalazione come P1.

La ricostruzione della catena fornita da Parameter:

• Una conversazione malevola combina un normale grafico interattivo, che carica la libreria matematica MathLive e installa un listener di messaggi nella pagina principale di chatgpt.com, con un'anteprima HTML che gli invia messaggi. Il listener non verificava chi avesse inviato un messaggio che modificava il layout della tastiera virtuale, e il layout poteva contenere HTML grezzo.
• L'HTML creava un frame non isolato che ereditava l'identità di chatgpt.com. La Content Security Policy di ChatGPT bloccava gli script inline ma consentiva YouTube, e un endpoint oEmbed di YouTube che restituiva un parametro callback fornito dall'utente metteva a disposizione lo script.
• I ricercatori affermano che il codice poteva elencare le conversazioni della vittima, leggere una conversazione privata mai condivisa e inviarne una parte a un server esterno. Affermano che lo stesso accesso avrebbe consentito qualsiasi azione possibile dall'account della vittima. Bastava aprire il link di condivisione, con al massimo un clic su Anteprima.

La cronologia di Parameter: la segnalazione è stata inviata il 18 ottobre, OpenAI ha portato la gravità da P2 a P1 il 21 ottobre, una correzione è stata distribuita gradualmente ai due frontend web e il 26 ottobre OpenAI ha confermato che entrambi rifiutavano i messaggi segnalati e ha assegnato una ricompensa di $5,000. Il resoconto è quello degli stessi ricercatori; non descrive alcun uso della vulnerabilità contro utenti reali.