Inteligencia IANov 1, 2026Consejo practico
Articulo
Parameter Labs describió una cadena de explotación contra el patrón de vistas previas/artefactos HTML de ChatGPT…
…donde los iframes aislados podían usar postMessage() para acceder al código de la página principal que utilizaba innerHTML, lo que permitía inyectar un nuevo iframe sin las restricciones del sandbox.
Generado por IA: resúmenes redactados por IA a partir de las fuentes enlazadas. Cómo usamos la IA
Generado por IAFuente: Simon Willison
01
Resumen fuente
Parameter Labs describió una cadena de explotación contra el patrón de vistas previas/artefactos HTML de ChatGPT, donde los iframes aislados podían usar postMessage() para acceder al código de la página principal que utilizaba innerHTML, lo que permitía inyectar un nuevo iframe sin las restricciones del sandbox.
02
Consejo practico
Al desarrollar o revisar aplicaciones que renderizan HTML no confiable en iframes aislados, trate los controladores de postMessage() en la página principal como superficie de ataque y evite insertar el contenido recibido mediante innerHTML.
03