LO ESENCIAL EN 30 SEGUNDOS

  • Según Parameter, una conversación compartida de ChatGPT manipulada podía ejecutar JavaScript como chatgpt.com, listar los chats de la víctima y leer conversaciones privadas.
  • La cadena aprovechaba un receptor de mensajes de MathLive que aceptaba HTML sin filtrar desde cualquier marco, y un script de YouTube permitido por la política de seguridad de contenido.
  • Notificado el 18 de octubre y calificado P1, el fallo quedó corregido en dos interfaces web el 26 de octubre; OpenAI pagó una recompensa de 5.000 dólares y los usuarios no deben hacer nada.

OpenAI ha cerrado una vulnerabilidad en la aplicación web de ChatGPT que permitía que un enlace público para compartir ejecutara código de un atacante dentro de la sesión iniciada de quien lo abriera. El problema lo descubrió la empresa de seguridad Parameter, que lo notificó a través del programa de recompensas de OpenAI el 18 de octubre de 2026 y publicó un análisis técnico el 28 de octubre, ya con el parche aplicado.

Cómo funcionaba el ataque

La función Preview de ChatGPT muestra HTML en un marco aislado alojado en otro dominio y, según los investigadores, ese entorno aislado resistió. La debilidad estaba en otro componente de la misma página. Una conversación compartida con un gráfico interactivo hacía que ChatGPT cargara MathLive, una biblioteca de entrada matemática, en la página principal de chatgpt.com. MathLive aceptaba mensajes de configuración de su teclado virtual sin comprobar quién los enviaba, y esos mensajes podían llevar HTML sin filtrar como si fuera una distribución de teclado.

El marco de Preview del atacante aprovechaba esto para inyectar HTML en la página principal, lo que creaba un marco sin aislamiento que el navegador consideraba parte de chatgpt.com. Como la política de seguridad de contenido bloqueaba los scripts en línea pero permitía YouTube, la carga útil llamaba a una dirección de YouTube cuyo parámetro de retorno contenía el JavaScript del atacante. Según Ostorlab, el fallo de fondo era la inyección de HTML sin control.

La víctima no tenía que instalar nada: bastaba con pulsar Preview una vez, y una variante posterior lo abría sola.

Qué quedaba expuesto

En pruebas entre sus propias cuentas, el código de Parameter listó las conversaciones recientes, abrió un chat privado que nunca se había compartido y envió una parte a un servidor controlado por los investigadores. Ostorlab añade que la carga podía leer el token de sesión. Los investigadores afirman que podían realizar cualquier acción en la cuenta, dentro de lo que permite la interfaz con sesión iniciada. Parameter no informó de explotación real y no se ha asignado ningún CVE.

La corrección

OpenAI reprodujo las pruebas de concepto, elevó la gravedad de P2 a P1, su categoría máxima, y corrigió dos versiones de la interfaz web de ChatGPT, que el 26 de octubre ya rechazaban los mensajes del ataque. Pagó una recompensa de 5.000 dólares. OpenAI no ha hecho declaraciones públicas más allá de estas medidas. Al tratarse de un cambio en el servidor, los usuarios no tienen que instalar ni restablecer nada. Para quienes integran MathLive, Ostorlab indica que no se ha identificado una versión corregida y recomienda verificar el remitente de los mensajes y aislar los marcos creados dinámicamente.