L'ESSENTIEL EN 30 SECONDES

  • Selon Parameter, une conversation ChatGPT partagée et piégée pouvait exécuter du JavaScript en tant que chatgpt.com, lister les échanges d'une victime et lire ses conversations privées.
  • L'attaque exploitait un écouteur de messages de MathLive acceptant du HTML brut venant de n'importe quel cadre, ainsi qu'un script YouTube autorisé par la politique de sécurité du contenu.
  • Signalée le 18 octobre et classée P1, la faille a été corrigée sur deux interfaces web au 26 octobre ; OpenAI a versé une prime de 5 000 dollars et les utilisateurs n'ont rien à faire.

OpenAI a comblé une vulnérabilité de l'application web de ChatGPT qui permettait à un lien de partage public d'exécuter le code d'un attaquant dans la session connectée de la personne qui l'ouvrait. La faille a été découverte par la société de sécurité Parameter, qui l'a signalée via le programme de bug bounty d'OpenAI le 18 octobre 2026, puis a publié une analyse technique le 28 octobre, une fois le correctif en place.

Le mécanisme de l'attaque

La fonction Preview de ChatGPT affiche du HTML dans un cadre isolé, hébergé sur un domaine distinct, et selon les chercheurs ce bac à sable a tenu. Le point faible venait d'un autre composant de la même page. Une conversation partagée contenant un graphique interactif amenait ChatGPT à charger MathLive, une bibliothèque de saisie mathématique, dans la page principale chatgpt.com. MathLive recevait des messages de réglage de son clavier virtuel sans vérifier leur expéditeur, et ces messages pouvaient transporter du HTML brut présenté comme une disposition de clavier.

Le cadre Preview de l'attaquant s'en servait pour injecter du HTML dans la page principale, créant un cadre non isolé que le navigateur rattachait à chatgpt.com. Comme la politique de sécurité du contenu bloquait les scripts en ligne mais autorisait YouTube, la charge utile chargeait une adresse YouTube dont le paramètre de rappel contenait le JavaScript malveillant. Selon Ostorlab, le vrai problème restait l'injection de HTML non contrôlée.

La victime n'avait rien à installer ni à se connecter via l'attaquant. Dans la version la plus fiable, un clic sur Preview suffisait ; une variante ultérieure ouvrait Preview automatiquement.

Les données exposées

Lors de tests menés entre leurs propres comptes, le code de Parameter a listé les conversations récentes, ouvert un échange privé jamais partagé et en a envoyé un extrait vers un serveur contrôlé par les chercheurs. Ostorlab ajoute que la charge pouvait lire le jeton d'accès de session et l'identifiant du compte. Les chercheurs estiment pouvoir effectuer n'importe quelle action sur le compte, dans les limites de l'interface connectée. Parameter ne signale aucune exploitation réelle, et aucun identifiant CVE n'a été attribué.

Le correctif

OpenAI a reproduit les preuves de concept, relevé la gravité de P2 à P1, sa catégorie la plus élevée, et corrigé deux versions de l'interface web de ChatGPT, qui rejetaient toutes deux les messages de l'attaque au 26 octobre. L'entreprise a versé une prime de 5 000 dollars. OpenAI n'a pas fait de déclaration publique au-delà de ces mesures. Le correctif étant appliqué côté serveur, les utilisateurs n'ont rien à installer ni à réinitialiser. Pour les développeurs qui intègrent MathLive, Ostorlab indique qu'aucune version corrigée n'a été identifiée et recommande de vérifier l'expéditeur des messages et d'isoler les cadres créés dynamiquement.