论文研究精选
Parameter 安全研究:公开 ChatGPT 分享链接可在受害者登录会话中执行任意代码
原始标题:We Took over ChatGPT Accounts
内容摘要
Parameter 团队披露一种针对 ChatGPT 的 XSS 攻击链:攻击者发布含交互图表和 HTML Preview 的公开分享对话,借助 MathLive 键盘布局消息未验证来源、innerHTML 注入无沙箱 iframe、YouTube oEmbed JSONP 绕过 CSP,使 JavaScript 以 chatgpt.com 身份在受害者登录会话中运行。