Parameter Labs нашли цепочку атак на ChatGPT: через sandboxed iframe, библиотеку MathLive и YouTube oEmbed они получили выполнение JS на странице. Это позволяло угнать аккаунт при открытии шары. OpenAI заплатил $5000 багбаунти — маловато, считают исследователи.
PortSwigger Research опубликовала обновлённую шпаргалку по Cross-Site Scripting. Содержит векторы для обхода WAF и фильтров, сгруппированные по событиям, тегам и браузерам. Включает PoC для каждого вектора. Регулярно обновляется, последний раз в сентябре 2026.
Исследователь обнаружил, что утилита ansi2html.py некорректно обрабатывает OSC 8 гиперссылки, позволяя вставить произвольный HTML с autofocus и onfocus. Для эксплуатации достаточно отправить патч с CI в публичную рассылку. Проблема затрагивает builds.sr.ht.