Pesquisadores encontram falha que permitia assumir contas do ChatGPT com apenas um link

A pesquisa descreve uma cadeia de exploração que começa em uma conversa pública comum do ChatGPT. O atacante publica o compartilhamento e envia o link. Quando a vítima abre, o payload roda como chatgpt.com dentro da sessão autenticada dela. Os pesquisadores confirmaram que o código listava as conversas, lia o conteúdo de uma conversa privada nunca compartilhada e enviava um trecho para um servidor externo.

O sandbox do Preview em si funcionou. O problema foi outro componente da página principal aceitar ordens dele. Um gráfico carregava a biblioteca MathLive, que instalava na página um listener de postMessage para o teclado virtual. O listener usava política de origem none (aceitava qualquer origem) e não exigia uma janela previamente aprovada. Uma mensagem trocava o layout do teclado por HTML, e a outra mandava exibi-lo. O MathLive jogava esse HTML em innerHTML, e o createHTML só marcava a string como confiável, sem sanitizar.

Para executar script, o HTML criava um iframe com srcdoc sem atributo sandbox, que herdou a identidade chatgpt.com. A CSP bloqueava JavaScript inline, mas permitia scripts do YouTube. O endpoint oEmbed aceitava um parâmetro callback no estilo JSONP e o refletia na resposta antes do erro de validação. Terminar o callback com ;void neutralizou o objeto anexado e o código rodou. A OpenAI corrigiu em 26 de outubro, em duas versões do front-end web, e classificou o relatório como P1. Segundo os pesquisadores, bloquear só o endpoint do YouTube não resolveria a raiz do problema.

Para quem opera plataformas e pipelines, o caso mostra que a CSP funciona como controle de reserva, não como barreira única. Na leitura editorial, vale revisar em apps próprios três pontos: receivers de postMessage que não validam origem e janela, configurações entre janelas que aceitam HTML cru e iframes criados dinamicamente sem sandbox. Também serve de alerta sobre allowlists de CSP com domínios de terceiros que oferecem endpoints JSONP. Cada recurso parecia razoável isoladamente, e o risco só apareceu na combinação.