ShareGPT共享chatGPT会话存在XSS

昨天（3月8号）chatGPT的历史会话保存功能无了(…崩了可能？或者是下线了？)，新的会话都无法保存，历史会话全部丢失

于是乎，为了方便存会话，后来就找到了这个浏览器插件——https://sharegpt.com/

它可以把chatGPT的会话保存下来，生成一个共享链接，让大家一起浏览你觉得不错的会话，还可以评论什么的，类似这样：

会话结束后，只需要点share，就可以自动跳转到生成的共享链接了：

共享这里有XSS风险，它基本上是把chatGPT的前端页面直接原封不动搬过去了，他人浏览你共享的会话时其实就直接加载了你会话的HTML前端

也就是说，如果你：

然后：

就会把整个嵌入的JavaScript载荷携带到生成的共享页面上了：

随手做了一个简单alert的PoC，共享链接：https://sharegpt.com/c/mHhUjtX

not fun at all…