Eine Twitch-Chat-Nachricht führte zu Codeausführung auf dem PC eines Streamers
How one Twitch chat message became code execution on a streamer’s PC
Ein Twitch-Chat-Overlay rendert Zuschauernachrichten als rohes HTML in einer OBS Browser Source. Das ermöglicht JavaScript-Ausführung im eingebetteten Chromium von OBS. Die damals aktuelle OBS-Version nutzte Chromium ohne Sandbox und mit einer V8-Version, die für CVE-2024-7971 anfällig war – eine bereits aktiv ausgenutzte Schwachstelle. So wird aus einer Chat-Nachricht vollständige Kontrolle über den Rechner des Streamers.
Wenn eine Chat-Nachricht Text ist, rendere sie als Text. Wenn du wirklich HTML brauchst, bereinige es ordentlich.