تضمنت سلسلة الهجوم التي أبلغ عنها الباحثون إطار iframe معزولًا يُدرج HTML في الصفحة الحاوية، ثم يستخدم نقطة نهاية مسموحًا بها في YouTube لتنفيذ JavaScript. كان بإمكان مهاجم استخدام رابط مشاركة مُعدّ خصيصًا لاستهداف الزوار الذين سجّلوا الدخول، واستخراج بياناتهم أو التصرف نيابة عنهم.

تُنسب النتائج إلى Parameter Labs؛ ولا يقول المصدر إنها خضعت لتحقق مستقل. أغلقت OpenAI الثغرة. ويرى كاتب المصدر أن مكافأة 5,000 دولار منخفضة بالنظر إلى خطورة الثغرة.

لماذا يهم

توضح هذه الحالة سبب ضرورة تقييم عزل iframe وسياسات أمن المحتوى معًا، وكيف يمكن لروابط المشاركة أن تخلق مخاطر على أمن الحسابات.

أدلة

شيء لتجربته

في إطار مراجعة أمنية افتراضية، حدّد كيفية تمكّن إطارات iframe الخاضعة لتحكم المستخدم من إرسال رسائل إلى الصفحة الحاوية، وتحقق مما إذا كانت هذه الرسائل تُعتمد بأمان.