Sicherheitsforscher beschreiben komplexe Angriffskette zur Übernahme von ChatGPT-Konten
🤖 KI-generierter Inhalt — Titel und Zusammenfassung wurden automatisch von künstlicher Intelligenz erstellt, ohne menschliche redaktionelle Prüfung.
Parameter Labs haben einen Exploit gegen ChatGPTs Implementierung von HTML-Vorschauen in sandandboxeten Iframes beschrieben, der eine komplexe Angriffskette ermöglichte. Durch eine Schwachstelle in der von der MathLive-Bibliothek genutzten Nachrichtenübermittlung über `postMessage()` konnten Angreifer HTML in die Elternseite einfügen und ungeschützte Iframes injizieren. Unter Ausnutzung einer YouTube-oEmbed-Schnittstelle zur Reflektion von Skripten gelang so die Ausführung von JavaScript, wodurch private Nutzerdaten von APIs abgerufen werden konnten.
Weiter in der App — abstimmen & mitreden ➔Quelle: Simon Willison (AI)