Un enlace compartido de ChatGPT podía ejecutar código de un atacante y leer chats privados; OpenAI ya corrigió el fallo

Investigadores de la firma de seguridad Parameter han publicado los detalles de una vulnerabilidad ya corregida de ChatGPT: un enlace público compartido de apariencia normal podía ejecutar JavaScript controlado por un atacante dentro de la sesión iniciada de quien lo abriera. The Hacker News informó del hallazgo esta semana.

Qué podía hacer el ataque

En las pruebas controladas de Parameter, el código se ejecutaba como chatgpt.com y podía:

• listar las conversaciones recientes de la víctima;
• abrir un chat privado nunca compartido con el atacante;
• enviar parte de él a un servidor externo de los investigadores.

Según los investigadores, el código podía actuar en la práctica como la víctima en el sitio. Bastaba con abrir el enlace.

Causa

Según Parameter, coincidieron tres decisiones de diseño: el componente de entrada matemática MathLive aceptaba un mensaje que cambiaba su configuración sin comprobar qué marco lo enviaba; ese mensaje podía llevar HTML sin filtrar; y ese HTML podía crear un marco sin sandbox que heredaba la identidad de ChatGPT, eludiendo la función aislada Preview.

Cronología

• 18 de octubre de 2026: reportado mediante el programa de recompensas de OpenAI.
• OpenAI lo reprodujo y subió la gravedad de P2 a P1, su categoría más seria.
• 26 de octubre: corrección desplegada; Parameter publicó su análisis el 28 de octubre.

Parameter no informa de explotación real; su prueba se hizo entre cuentas propias. Los usuarios no tienen que hacer nada: la corrección está del lado de OpenAI.