一則 Twitch 聊天訊息如何攻陷實況主電腦

獨立資安研究員揭露一起針對開源實況軟體 OBS Studio 的零點擊遠端程式碼執行（RCE）攻擊鏈。一名開發者以「氛圍編碼（Vibe Coding）」打造的第三方 Twitch 聊天室疊加元件，因未對檢視者輸入進行任何清理，直接將聊天訊息以原始 HTML 形式插入網頁，形成典型的跨站腳本（XSS）漏洞。最致命的環節在於，OBS 32.2.2 版本內嵌的 Chromium 瀏覽器引擎版本停留在 127.0.6533.120，且預設關閉了 Chromium 沙箱機制（`settings.no_sandbox = true`），使其同時存在兩個重大瑕疵：未沙箱化的渲染進程，以及早已被北韓駭客組織 Citrine Sleet 利用於實際攻擊的 V8 型別混淆漏洞 CVE-2024-7971。

最終攻擊鏈形成閉環：實況主僅須載入該漏洞疊加元件，無需任何互動或額外設定，攻擊者便可在 Twitch 聊天中發送單一訊息，依次觸發 JavaScript 執行、突破 V8 漏洞取得原生程式碼執行權，最終完全控制實況主電腦。事件於 2026 年 8 月 19 日通報 OBS 團隊，OBS 已於 9 月 10 日合併更新 obs-browser 至 CEF 128+ 以上的 Pull Request，並恢復沙箱機制。