Eksperci z firmy Parameter zidentyfikowali krytyczną podatność w ChatGPT, która umożliwiała wykonanie złośliwego kodu JavaScript w przeglądarce użytkownika. Atak nie wymagał instalacji oprogramowania ani skomplikowanej interakcji – wystarczyło kliknięcie w link do współdzielonej konwersacji.
Mechanizm ataku opierał się na błędnym połączeniu kilku elementów. Wykorzystano funkcję Preview do renderowania HTML oraz bibliotekę MathLive, która poprzez mechanizm postMessage przesyłała niezweryfikowane komunikaty do głównego okna aplikacji. Pozwalało to na przemycenie kodu HTML w konfiguracji klawiatury ekranowej.
Aby ominąć restrykcje Content Security Policy (CSP), badacze wykorzystali mechanizm oembed z domeny YouTube, co pozwoliło na załadowanie złośliwego skryptu pod postacią zaufanego źródła. Skutkiem mogło być przejęcie pełnej kontroli nad sesją, w tym kradzież prywatnych rozmów i wykonywanie dowolnych akcji w imieniu użytkownika.
OpenAI zareagowało na zgłoszenie, klasyfikując błąd jako priorytet P1. Luka została całkowicie wyeliminowana dzięki wdrożeniu poprawek na serwerach dostawcy, a badaczom przyznano nagrodę w ramach programu Bug Bounty.
