CSS lanci napada ugrožavaju granice webmail interfejsa
Istraživanje koje je Gareth Heyes iz PortSwiggera predstavio na konferenciji Black Hat USA 2026 pokazuje da sadržaj HTML poruke može izaći iz granica poruke i uticati na interfejs webmaila. Demonstrirani lanci obuhvataju Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail i AOL Mail, a posledice uključuju krađu lozinki, preuzimanje naloga trećih strana, curenje tokena i manipulaciju AI alatima povezanim sa poštom.
Rad je objavljen 6. avgusta, dok su javni dokazni koncepti bili dostupni 8. avgusta 2026. Nema prijavljene zloupotrebe ovih tehnika u stvarnim napadima. Ipak, kombinacija ponašanja aplikacije, pregledača i previše dozvoljenog HTML-a ili CSS-a pokazuje koliko je granica između nepouzdanog sadržaja poruke i pouzdanog korisničkog interfejsa važna.
Dva načina za prelazak granice poruke
Opisani pristupi oslanjaju se na HTML i CSS koje webmail već dozvoljava ili na razliku između sadržaja koji odobri sanitizer i DOM-a koji preglednik odnosno aplikacija naknadno izgradi. U oba slučaja napadač pokušava da sadržaj poruke dobije uticaj na elemente izvan samog tela poruke.
Outlook primer objedinjuje više takvih elemenata. Dozvoljeni label elementi mogu aktivirati kontrole van poruke, dok JavaScript aplikacije može sanitarne prilagođene atribute pretvoriti u nove DOM čvorove sa CSS-om koji nije na listi dozvoljenog. Trik pri parsiranju media upita potom omogućava proizvoljan CSS, a select element može biti prikazan kao polje za lozinku.
U Firefoxu se tajmer izbora opcije, koji traje približno jednu sekundu, resetuje kada se select pomeri van ekrana. Tako demonstracija može u realnom vremenu zabeležiti lozinku koju korisnik unese u lažni Microsoftov ekran za prijavu. Rad ne navodi da li je potpuni lanac za hvatanje lozinke u Outlooku ispravljen.
Tokeni, interakcija korisnika i povezani AI alati
Yahoo Mail i AOL Mail bili su deo drugačije demonstracije u Firefoxu: nakon lepljenja HTML-a, aktivni CSS može nakratko ostati prisutan pre sanitizacije. U scenariju sa Medium prijavom, zahtevi otkrivaju dovoljno delova tokena za prijavu od 12 znakova da ih server napadača rekonstruiše i upotrebi za prijavu kao žrtva.
Heyes je opisao i tehniku eksfiltracije zasnovanu na kliku za situacije u kojima Content Security Policy blokira spoljne resurse. Ako je moguće ubaciti stilove, CSS može odrediti koje se cifre pojavljuju u tokenu i koliko puta, sakriti linkove koji ne odgovaraju i ostaviti odgovarajući link preko stranice. Klik zatim šalje cifre i njihovu učestalost napadačevom serveru.
Rizik se širi i na automatizaciju obrade pošte. U demonstraciji Gmailov image-set() rezervni mehanizam omogućio je spoljni zahtev uprkos sanitizaciji. PortSwiggerovi Heyes i Pete Hendy povezali su ga sa indirektnom prompt injekcijom koju je Anthropic Claude Cowork obradio preko Gmail konektora: token iz Slack potvrde završio je u HTML nacrtu, a njegovo otvaranje dovelo je do curenja.
Fastmail je ispravio dve CSS mutation greške, a Proton Mail proxy zaobilaženje više nije funkcionisalo pri ponovnom testiranju. Međutim, Outlook label-jacking i Gmailovo zaobilaženje preko image-set() i dalje su radili pri objavi rada. Ovakvi nalazi se uklapaju u obrazac zloupotrebe poverenja opisan kroz obrazac zloupotrebe poverenja u digitalnim sistemima kao površinu na kojoj naizgled bezazlen sadržaj dobija nepredviđen uticaj.
Praktične mere za organizacije
Preporuke za pružaoce webmaila počinju izolovanjem HTML poruka u sandboxed okvirima, uz stroga ograničenja CSS-a, prilagođenih atributa, select menija i zahteva za slikama. Rad dodatno preporučuje liste dozvoljenih znakova pri validaciji CSS-a, proveru CSS naprava pre dozvoljavanja prilagođenih atributa i blokiranje opasnih selektora i domena na listama dozvoljenih.
Za poslovanje je zaključak praktičan: bezbednosne provere webmaila, pregledača i AI konektora ne treba posmatrati odvojeno. Potrebno je proveravati kako nepouzdana poruka utiče na interfejs, mrežne zahteve i tokove u kojima automatizovani alati čitaju, obrađuju ili prikazuju podatke iz sandučeta.