Parameter ha reso pubblica il 28 ottobre una vulnerabilità nei link condivisi di ChatGPT, riferendo che OpenAI l’aveva corretta il 26 ottobre. In una prova controllata tra account separati, i ricercatori sono riusciti a leggere contenuti di una conversazione privata e a inviarne una parte a un server sotto il loro controllo. Parameter non ha segnalato sfruttamenti reali. La divulgazione di Parameter
Che cosa ha dimostrato il test
Parameter ha riferito che la prova permetteva di elencare le conversazioni recenti, recuperare contenuti da una chat privata non condivisa con i ricercatori e trasmetterne una parte selezionata a un loro server. Il test è stato condotto con account separati: non riguardava un attacco documentato contro utenti reali.
Nella riproduzione più stabile, chi apriva il link doveva fare un clic su Preview. In una variante successiva, Preview si apriva automaticamente e bastava visitare la conversazione condivisa. Parameter ha detto di aver riprodotto questa seconda modalità tre volte, anche dopo un aggiornamento forzato della pagina.
Come la catena tra Preview e MathLive superava il confine
Secondo Parameter, il percorso partiva da un grafico nella conversazione condivisa: Preview caricava MathLive, una libreria per contenuti matematici, nella pagina principale di ChatGPT. Il listener di MathLive accettava un messaggio tra frame senza verificarne il mittente e permetteva di includere HTML grezzo. Quel codice creava un frame senza sandbox, cioè senza il normale isolamento, che ereditava l’identità del sito ChatGPT.
Parameter ha descritto YouTube come l’ultimo espediente per aggirare la Content Security Policy, la regola che limita le risorse da cui una pagina può caricare codice. Non era la causa della vulnerabilità: la falla dipendeva dalla combinazione di messaggi non verificati, HTML e frame non isolato.
La ricerca e la correzione, secondo Parameter
Parameter ha riferito di aver confermato il percorso nel codice di produzione il 13 ottobre 2026 e di aver riprodotto l’esecuzione di JavaScript il giorno successivo. Il 16 ottobre ha verificato la consegna tramite un link condiviso con un clic su Preview; il 17 ha riprodotto la variante con Preview automatico. Il 18 ha inviato la segnalazione a OpenAI e il 19 ha aggiunto la prova relativa ai contenuti di una chat privata.
Secondo la cronologia pubblicata da Parameter, il 21 ottobre OpenAI ha riprodotto il problema e ne ha innalzato la gravità da P2 a P1. Il 22 era in corso l’aggiornamento del secondo di due frontend; il 23 alcune modifiche alla Content Security Policy bloccavano già una parte della catena. Il 26 ottobre, riferisce Parameter, entrambi i frontend rifiutavano i messaggi usati nella prova e il problema è stato dichiarato risolto. The Hacker News ha riferito che gli utenti non dovevano installare nulla né reimpostare il proprio account. Parameter ha inoltre riportato un premio di 5.000 dollari per la segnalazione.
