Araştırmacıların anlattığı saldırı zinciri, sandbox içindeki bir iframe’in üst sayfaya HTML eklemesine ve ardından izin verilen bir YouTube uç noktası üzerinden JavaScript çalıştırmasına dayanıyordu. Saldırgan, oluşturduğu paylaşım bağlantısını ziyaret eden oturum açmış kullanıcıların verilerini dışarı aktarabilir veya onların adına işlem yapabilirdi.

Bulgular Parameter Labs’e atfediliyor; kaynak, saldırının bağımsız olarak doğrulandığını belirtmiyor. OpenAI açığı kapattı. Kaynağın yazarı, 5.000 dolarlık ödülün açığın ciddiyeti için düşük olduğunu düşünüyor.

Neden önemli?

Bu vaka, iframe sandbox’larının ve içerik güvenlik politikalarının birlikte değerlendirilmesi gerektiğini ve paylaşım bağlantılarının hesap güvenliği riski yaratabileceğini gösteriyor.

REHBERLER

Bir deneme fikri

Varsayımsal bir güvenlik incelemesinde, kullanıcı içeriği işleyen iframe’lerin üst sayfaya mesaj gönderebildiği yolları ve mesajların güvenli biçimde doğrulanıp doğrulanmadığını kontrol edin.