शोधकर्ताओं द्वारा बताई गई हमले की शृंखला में एक सैंडबॉक्स किया गया iframe पैरेंट पेज में HTML डालता था, फिर JavaScript चलाने के लिए YouTube के अनुमत endpoint का उपयोग करता था। कोई हमलावर विशेष रूप से तैयार किए गए शेयर लिंक से साइन-इन किए हुए विज़िटर को निशाना बना सकता था, उनका डेटा बाहर निकाल सकता था या उनकी ओर से कार्रवाई कर सकता था।
निष्कर्षों का श्रेय Parameter Labs को दिया गया है; स्रोत यह नहीं कहता कि उनकी स्वतंत्र रूप से पुष्टि की गई थी। OpenAI ने खामी बंद कर दी। स्रोत के लेखक का मानना है कि भेद्यता की गंभीरता को देखते हुए 5,000 डॉलर का इनाम कम है।
यह क्यों मायने रखता है
यह मामला दिखाता है कि iframe sandboxing और content security policies का एक साथ आकलन करना क्यों ज़रूरी है, और शेयर लिंक अकाउंट-सुरक्षा के जोखिम कैसे पैदा कर सकते हैं।
आजमाने के लिए कुछ
एक काल्पनिक सुरक्षा समीक्षा के रूप में, यह मानचित्रित करें कि उपयोगकर्ता-नियंत्रित iframe पैरेंट पेज को संदेश कैसे भेज सकते हैं और जाँचें कि उन संदेशों का सुरक्षित रूप से सत्यापन किया जाता है या नहीं।
बातचीत शुरू करें।