Prise de contrôle de comptes ChatGPT via une vulnérabilité XSS dans le partage public

Thu, 05 Nov 2026 00:00:00 +0100

🔍 Contexte

Publié le 28 octobre 2026 par Mukul Goyal (Parameter Labs), cet article de recherche détaille une vulnérabilité critique (P1) découverte en octobre 2026 dans ChatGPT (chatgpt.com), permettant la prise de contrôle de comptes via une chaîne d’exploitation multi-composants. OpenAI a corrigé le problème le 26 octobre 2026.

⚙️ Mécanisme d’exploitation

La chaîne repose sur la combinaison de plusieurs fonctionnalités légitimes de ChatGPT :

Graphique interactif : charge la bibliothèque MathLive, qui installe un listener postMessage dans la page principale chatgpt.com.
HTML Preview (iframe sandboxé sur un domaine différent) : envoie deux messages postMessage de type mathlive#virtual-keyboard-message au listener MathLive.
Absence de vérification d’origine : MathLive accepte ces messages sans valider event.origin ni event.source (politique none).
Injection HTML : le message update-setting injecte du HTML arbitraire via innerHTML dans la page principale, via createHTML qui agit comme un wrapper Trusted Types sans sanitisation.
Contournement du sandbox : un <iframe srcdoc> sans attribut sandbox est créé dans la page principale, héritant de l’identité https://chatgpt.com.
Contournement de la CSP : la CSP de ChatGPT autorisait les scripts depuis www.youtube.com. L’endpoint YouTube oEmbed JSONP (/oembed?callback=) permettait d’injecter du JavaScript arbitraire via le paramètre callback, retourné avec Content-Type: text/javascript.

💥 Impact confirmé

Exécution de JavaScript arbitraire dans la session authentifiée de la victime sur chatgpt.com
Énumération des conversations privées via GET /backend-api/conversations
Lecture du contenu de conversations privées via GET /backend-api/conversations/<id>
Exfiltration de données vers un serveur contrôlé par l’attaquant via une requête image
Accès complet aux APIs authentifiées de ChatGPT au nom de la victime
La victime n’avait qu’à ouvrir le lien partagé (aucune installation, aucun clic supplémentaire requis dans la version automatique)

📅 Timeline

13 oct. 2026 : Confirmation du chemin MathLive → HTML en production
14 oct. : Reproduction complète, exécution JavaScript arbitraire
16 oct. : Confirmation de la livraison via lien de partage public entre comptes séparés
17 oct. : Confirmation du Preview automatique à l’ouverture du lien
18 oct. : Soumission au bug bounty OpenAI
19 oct. : Ajout de la preuve d’exfiltration de conversation privée
21 oct. : OpenAI reproduit le bug, sévérité élevée de P2 à P1
26 oct. : Correction déployée sur les deux frontends web, bounty de 5 000 USD accordé

📄 Nature de l’article