Ново проучване показва, че съдържанието в имейл може да излезе извън границите на съобщението и да повлияе на интерфейса на уеб пощата.
Чрез вериги от атаки, обхващащи Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail и AOL Mail, техниките могат да улавят пароли, да компрометират акаунти на трети страни, да източват токени, да отвличат доверени действия в потребителския интерфейс и да манипулират инструменти с изкуствен интелект, които четат имейли.
Изследователят от PortSwigger Гарет Хейс представи работата си на конференцията Black Hat USA 2026. Една от веригите за Outlook/Firefox подправя екрана за влизане на Microsoft и улавя паролата, която получателят въвежда. При Yahoo/AOL надпревара с времето при поставяне (paste race) може да разкрие токен за влизане в Medium и да позволи на атакуващия да се впише от името на жертвата. Верига в Gmail/Cowork може да извлече Slack токен след инжектиране на инструкции (prompt injection) и взаимодействие с потребителя.
Докладът представя изследване на концепцията (proof-of-concept) и не съобщава за реална злонамерена експлоатация. Публичните PoC остават налични към 8 август. Изследователят заяви, че Fastmail е коригирал две уязвимости, свързани с мутация на CSS, а заобикалянето на проксито на Proton Mail е спряло да работи при повторен тест. Същевременно отвличането на етикети в Outlook и заобикалянето на image-set() в Gmail са продължавали да работят, когато изследването е публикувано на 6 август.
В доклада не се посочва дали пълната верига за улавяне на пароли в Outlook е коригирана. За доставчиците на уеб пощи документът препоръчва изолиране на HTML имейлите в iframe в изолирана среда (sandbox) и строго ограничаване на CSS, персонализирани атрибути, менюта за избор и заявки за изображения.
Проучването следва два пътя: злоупотреба с HTML и CSS, които уеб пощата вече позволява, или създаване на несъответствие между това, което филтърът за почистване на код (sanitizer) одобрява, и това, което браузърът или приложението в крайна сметка генерират. И двата метода могат да преминат границата между недовереното съобщение и неговия доверен интерфейс.
Outlook показва как тези елементи могат да се комбинират. Разрешените елементи за етикети могат да задействат контроли извън съобщението, докато JavaScript на приложението може да превърне почистените персонализирани атрибути в нови DOM възли, съдържащи CSS извън списъка с разрешени стилове. Трик с парсване на медийни заявки след това дава на атакуващия възможност за инжектиране на произволен CSS.
Веригата маскира елемент от тип select като поле за парола, а Firefox нулира своя таймер за избор на опция (който е около една секунда), когато елементът се премести извън екрана, което прави улавянето в реално време.
Yahoo Mail и AOL Mail разкриват друг маршрут. Във Firefox поставеният HTML може за кратко да запази активен CSS преди процеса на почистване. В демонстрацията с Medium атакуващият инициира процес на влизане по имейл, жертвата копира предоставен от атакуващия CSS в клипборда и след това го поставя в чернова на Yahoo или AOL. Получените заявки разкриват достатъчна част от 12-знаковия токен за влизане, за да може сървърът на атакуващия да го възстанови и да се впише като жертвата.
Докладът също така представя техника за извличане на данни, базирана на кликване, в случаите, когато Политиката за сигурност на съдържанието (CSP) блокира външни ресурси. При инжектиране на стил и цифров токен, изобразен като текст в имейла, CSS може да определи кои цифри се срещат и колко често, да скрие несъвпадащите връзки и да разположи съвпадащата връзка на цялата страница. Кликването от страна на жертвата изпраща цифрите и тяхната честота към сървъра на атакуващия.
Имейлите, свързани с изкуствен интелект, създават друг вектор. Резервният механизъм на image-set() в Gmail позволява изпращането на външна заявка въпреки филтрирането на кода. Хейс и неговият колега от PortSwigger Пийт Хенди свързват това с имейл за непряко инжектиране на инструкции, обработен от Claude Cowork на Anthropic чрез свързан конектор към Gmail.
В демонстрираната конфигурация, след като атакуващият задейства имейл за потвърждение на Slack токен и жертвата поиска от Cowork да обработи имейлите, инжектираните инструкции карат AI модела да извлече токена и да го постави в HTML чернова. Прегледът на черновата води до изтичане на токена.
Демонстрация срещу Fastmail е насочена към AI браузъра Atlas на OpenAI. CSS псевдо-елементи и непрозрачност карат човека да вижда безвреден текст, докато моделът чете скрити инструкции. Когато потребителят поиска от Atlas да преведе видимия текст, скритата инструкция го кара да отвори раздели и да кодира името на жертвата в URL фрагменти. OpenAI спира поддръжката на Atlas и заявява, че той трябва да спре да работи на 9 август 2026 г.
Други открития включват „CSS hotwiring“ във Fastmail, което може да пренасочи кликванията към нежелани и многоетапни действия в потребителския интерфейс. Заобикаляне на проксито за изображения във Fastmail чрез ескейпната обратна наклонена черта разчита на разрешен домейн user.fm, за да разкрие кога се преглежда имейл.
Хейс отделно демонстрира вектор в Proton Mail, който излага IP адреса на получателя. Текущата документация за защита от проследяване на Proton посочва, че услугата е проектирана да скрива личния IP адрес на потребителя и точното време на отваряне на имейла.
Придружаващото публично хранилище съдържа PoC кодове за разкритите техники. Насоките за защита започват със строга изолация, последвана от списъци с разрешени символи за валидиране на CSS, проверки за CSS джаджи преди разрешаване на персонализирани атрибути, блокиране на менюта за избор и опасни селектори, както и предотвратяване на контролирани от атакуващия заявки за изображения и разрешени домейни.