ChatGPT 공유 링크 하나로 계정을 탈취한 방법
- 악성 ChatGPT 공유 링크를 열면 로그인한 사용자의 권한으로 JavaScript가 실행되는 취약점이 발견됨. 자동 미리보기를 이용한 버전에서는 추가 클릭도 필요하지 않았음
- 격리된 HTML 미리보기가 보낸 메시지를 수학 라이브러리 MathLive가 발신자 검증 없이 처리하면서, 메인 ChatGPT 페이지에 공격자 HTML을 삽입할 수 있었음
- 삽입된 HTML로 샌드박스 없는 프레임을 만들고, CSP가 허용한 YouTube의 JSONP 응답을 이용해 `chatgpt.com` 출처에서 코드를 실행함
- 피해자의 인증된 API로 비공개 대화 목록과 메시지를 조회…
https://news.hada.io/topic?id=36338
ChatGPT 공유 링크 하나로 계정을 탈취한 방법 - 악성 ChatGPT 공유 링크를 열면 로그인한 사용자의 권한으로 JavaScript가 실행되는 취약점이 발견됨.
GeekNews
@GeekNewsHadaGeekNews 공식 텔레그램 채널입니다. GeekNews 에 올라오는 주요 뉴스를 자동으로 전송합니다. 더 많은 뉴스를 위해서는 긱뉴스를 방문해 주세요. https://news.hada.io 긱뉴스 위클리 뉴스레터를 구독하시면 매주 월요일 아침에 이메일로 주요 뉴스를 받아보실수 있습니다. https://news.hada.io/weekly
2 425 підписників
Відкрити в Telegram