פירצת אבטחה חמורה ב-ChatGPT אפשרה השתלטות על חשבונות

מעבדות Parameter חשפו פירצת אבטחה ביישום 'תצוגות מקדימות של HTML' בChatGPT, שבו אפליקציות HTML אינטראקטיביות מוצגות בתוך iframe מבודד. הפירצה אפשרה לקוד לא מהימן להוסיף HTML מותאם אישית לדף האב, ובכך להזריק iframe חדש ללא הגבלות אבטחה, כפי שצוין במחקרם.

התוקפים יכלו להשתמש בנקודת תורפה זו כדי להריץ קוד JavaScript, לגשת לנתוני משתמשים פרטיים מAPI של OpenAI ולשלוף אותם. המשמעות היא שקישור שיתוף של ChatGPT, כאשר נפתח על ידי משתמש מחובר אחר, יכול היה לגרום לגניבת נתונים.

קריאה נוספת ←