Hacker News·· 2 小时前精选AI 评分85
OpenAI ChatGPT 公共分享链接漏洞可导致账户接管与私密对话泄露
We Took over ChatGPT Accounts
AI 导读
研究团队发现，攻击者可制作恶意 ChatGPT 公共分享链接，使访问者在已登录会话中执行 JavaScript，枚举并读取私密对话内容，再将数据发送到外部服务器。漏洞利用了 MathLive 消息处理、HTML Preview、无沙箱 iframe 与 YouTube JSONP 等环节，OpenAI 于 2026 年 10 月 26 日确认修复，赏金总额为 $5,000。
推荐理由
完整拆解了从公共分享链接到私密对话读取的跨功能利用链，并给出跨窗口消息认证、HTML 沙箱与 CSP 防御经验。
来源：Hacker News · parameter.ai