Parameter Labs, ChatGPT'te hesap ele geçirme açığını keşfettiParameter Labs Discovers Account Takeover Vulnerability in ChatGPT

ÖzetSummary

Parameter Labs, ChatGPT'nin kum havuzunda çalışan HTML önizleme (artifacts) özelliğinde çok adımlı bir istismar keşfetti. Bu istismar, güvensiz iframe kodunun kum havuzundan kaçmasına, ana sayfada JavaScript çalıştırmasına ve ortak bir URL üzerinden oturum açmış kullanıcının özel verilerini dışarı sızdırmasına olanak tanıyordu. OpenAI güvenlik açığını yamaladı ve 5.000 dolarlık hata ödülü ödedi.Parameter Labs discovered a multi-step exploit in ChatGPT's sandboxed HTML preview (artifacts) feature. This exploit allowed unsafe iframe code to escape the sandbox, execute JavaScript on the main page, and exfiltrate private data from logged-in users via a shared URL. OpenAI patched the vulnerability and paid a $5,000 bug bounty.

Neden ÖnemliWhy it matters

Güvenlik açığı, ilk bakışta masum görünen bir ChatGPT paylaşım bağlantısını tam bir hesap ele geçirme vektörüne dönüştürdü. Bu durum, bağlantıya oturum açmış halde giren herhangi bir kullanıcının verilerinin çalınabileceği veya hesabı adına işlemler yapılabileceği anlamına geliyor. Olay, üçüncü taraf bir kütüphanedeki (MathLive) tek bir güvensiz innerHTML kullanımının, esnek bir CSP izin listesinin (YouTube oEmbed) etkisiyle birleşerek tüm kum havuzu modelini nasıl kırdığını gözler önüne serdi. Bu olay, keyfi kullanıcı üretili HTML gömülü yapay zeka ürün arayüzlerinin, sıkı yalıtım garantileri gerektiren yüksek değerli bir saldırı yüzeyi olduğunu vurguluyor.The vulnerability turned an innocent-looking ChatGPT share link into a full account takeover vector. This means that any user who opens the link while logged in could have their data stolen or actions performed on their behalf. The incident highlights how a single unsafe innerHTML usage in a third-party library (MathLive), combined with a permissive CSP allowlist (YouTube oEmbed), can break the entire sandbox model. It underscores that arbitrary user-generated HTML embedded in AI product interfaces represents a high-value attack surface requiring strict isolation guarantees.

Öne ÇıkanlarHighlights

• Saldırı zinciri: postMessage → innerHTML enjeksiyonu → kum havuzunda olmayan iframe → YouTube oEmbed JS yansıması → image etiketi üzerinden veri sızdırmaAttack chain: postMessage → innerHTML injection → non-sandboxed iframe → YouTube oEmbed JS reflection → data exfiltration via image tag
• CSP, YouTube'dan betik yüklemeye izin veriyordu. YouTube'un oEmbed ucu ise çalıştırılabilir JavaScript'i yansıtıyor ve son kaçış noktası haline geliyordu.CSP allowed script loading from YouTube. YouTube's oEmbed endpoint reflected executable JavaScript, becoming the final escape point.
• OpenAI, 5.000 dolarlık bir hata ödülü ödedi. Simon Willison, bu tutarın güvenlik açığının ciddiyetine kıyasla 'biraz ucuz' olduğunu belirtti.OpenAI paid a $5,000 bug bounty. Simon Willison noted that this amount was 'a bit cheap' given the severity of the vulnerability.

EleştiriCritical take

Yazı teknik olarak detaylı olsa da bağımsız bir doğrulama veya CVE referansı içermeyen, tek bir araştırmacının blog yazısı gibi okunuyor. Ayrıca düşük olarak nitelendirilen 5.000 dolarlık ödeme, OpenAI'nin iç risk değerlendirmesinin paylaşılabilebilir bir hesap ele geçirme URL'inin gerçek dünya etkisiyle gerçekten örtüşüp örtüşmediği konusunda soru işaretleri yaratıyor.Although the article is technically detailed, it reads like a single researcher's blog post lacking independent verification or a CVE reference. Additionally, the $5,000 payout, characterized as low, raises questions about whether OpenAI's internal risk assessment truly aligns with the real-world impact of a shareable account takeover URL.