Simon Willison·· 4 天前精选AI 评分77
Parameter Labs 披露接管 ChatGPT 账户的漏洞利用链
How We Took Over ChatGPT Accounts
AI 导读
Parameter Labs 披露了针对 ChatGPT HTML 预览功能的漏洞利用链，攻击者可通过恶意分享链接窃取受害者私有数据并代其执行操作。该攻击利用 MathLive 库的 postMessage 机制向父页面注入无沙箱 iframe，并借助 YouTube oEmbed 端点绕过 CSP 执行 JavaScript，从而调用 API 获取隐私数据。
推荐理由
梳理了通过沙箱逃逸和 CSP 绕过接管账户的完整攻击链细节，有助于排查富文本与 iframe 隔离场景下的安全隐患。
来源：Simon Willison · simonwillison.net