Comment des accounts ChatGPT ont été compromis via une faille dans les aperçus HTML

— Résumé

Parameter Labs décrit une chaîne d'attaque visant l'implémentation par OpenAI du système d'aperçus HTML interactifs dans ChatGPT (anciennement appelé « Canvas »), où des applications HTML personnalisées s'affichent dans un iframe sandboxé. Le mécanisme repose sur la bibliothèque MathLive, utilisée pour le support graphique, qui intègre un clavier virtuel déclenchable depuis l'iframe sandboxé via postMessage(). Le code de réception de ce message utilise innerHTML, permettant à n'importe quel message d'injecter du HTML personnalisé dans la page parente. Aucun mécanisme n'empêchait d'autres iframes sandboxés, y compris les frames d'aperçu HTML, d'appeler cette méthode. Bien qu'innerHTML n'exécute pas directement les éléments script, le code non fiable dans l'iframe pouvait ainsi injecter un nouvel iframe sans restrictions de sandbox, malgré les règles CSP d'OpenAI bloquant les scripts inline.