Új kutatás mutatja be, hogy egy e-mail tartalma ki tud lépni az üzenet saját határai közül, és bele tud avatkozni a webmail felület működésébe.

Az Outlookot, a Gmailt, a Fastmailt, a Proton Mailt, a Yahoo Mailt és az AOL Mailt érintő támadási láncokkal a támadók jelszavakat szerezhetnek meg, átvehetik harmadik felek fiókjait, tokeneket szivárogtathatnak ki, megbízhatónak tűnő felületi elemeket téríthetnek el, és manipulálhatják az e-maileket olvasó AI eszközöket.

A PortSwigger kutatója, Gareth Heyes a Black Hat USA 2026 konferencián mutatta be a munkáját. Az egyik Outlook/Firefox lánc hamis Microsoft bejelentkezési képernyőt jelenít meg, és rögzíti a címzett által beírt jelszót. Egy Yahoo/AOL „paste race” támadás feltárhat egy Medium e-mailes bejelentkezési tokent, és lehetővé teszi, hogy a támadó a sértett nevében jelentkezzen be. Egy Gmail/Cowork lánc prompt injection és felhasználói interakció után ki tud szivárogtatni egy Slack tokent.

A tanulmány proof-of-concept kutatást mutat be, nem számol be valós támadásokkal. A nyilvános PoC-k augusztus 8-án még elérhetők voltak. A kutató szerint a Fastmail két CSS-mutációs hibát javított, a Proton Mail egyik proxy-megkerülése pedig már nem működött az újrateszteléskor, miközben az Outlook label-jacking technika és a Gmail image-set() megkerülése még működött, amikor a kutatást augusztus 6-án publikálták.

A tanulmány nem tér ki rá, hogy az Outlook teljes, jelszólopó támadási láncát kijavították-e. A webmail szolgáltatóknak azt javasolja, hogy az HTML e-maileket sandboxolt iframe-ekben jelenítsék meg, és szigorúan korlátozzák a CSS-t, az egyedi attribútumokat, a legördülő menüket és a képkéréseket.

A kutatás két fő irányt követ: vagy a webmail által már engedélyezett HTML-t és CSS-t használja ki, vagy eltérést hoz létre aközött, amit a szűrő engedélyez, és aközött, amit a böngésző vagy az alkalmazás végül ténylegesen létrehoz. Mindkét út át tudja törni a határt a nem megbízható üzenet és a megbízható felület között.

Az Outlook jól mutatja, hogyan állnak össze az egyes elemek. Az engedélyezett label elemek képesek az üzeneten kívüli vezérlőket is aktiválni, miközben az alkalmazás JavaScriptje a megtisztított egyedi attribútumokból új DOM csomópontokat hoz létre, amelyek már a szűrő engedélyezési listáján kívüli CSS-t hordoznak. Egy media query elemzési trükk ezután tetszőleges CSS-t ad a támadó kezébe.

A lánc egy select elemet álcáz jelszómezőnek, a Firefox pedig minden alkalommal újraindítja a nagyjából egy másodperces opcióválasztási időzítőt, amikor a select lekerül a képernyőről, így a rögzítés gyakorlatilag valós idejűvé válik.

A Yahoo Mail és az AOL Mail másik utat nyitott meg. Firefox alatt a beillesztett HTML rövid ideig megőrizhette az aktív CSS-t a szűrés előtt. A Medium-demóban a támadó elindít egy e-mailes bejelentkezési folyamatot, az áldozat a támadó által megadott CSS-t a vágólapra másolja, majd beilleszti egy Yahoo vagy AOL piszkozatba. A létrejövő kérésekből annyi derül ki a 12 karakteres bejelentkezési tokenből, hogy a támadó szervere rekonstruálni tudja, és ezzel már be tud jelentkezni az áldozat nevében.

A tanulmány egy kattintásalapú adatkinyerési technikát is bemutat arra az esetre, ha a Content Security Policy (CSP) blokkolja a külső erőforrásokat. Ha sikerül stílust injektálni, és az e-mailben szövegként megjelenik egy numerikus token, a CSS meg tudja állapítani, mely számjegyek fordulnak elő és milyen gyakran, el tudja rejteni a nem illeszkedő hivatkozásokat, és a megfelelő hivatkozást végig a lapon hagyja. Amikor az áldozat rákattint, a kattintás elküldi a számjegyeket és az előfordulási gyakoriságukat a támadó szerverére.

Az MI-hez kapcsolt e-mail egy másik utat is nyit. A Gmail image-set() tartalékmechanizmusa a szűrés ellenére is képes volt külső kérést indítani. Heyes és a PortSwiggernél dolgozó kollégája, Pete Hendy ezt egy közvetett prompt injection e-maillel fűzte össze, amelyet az Anthropic Claude Cowork dolgozott fel egy csatlakoztatott Gmail connector segítségével.

A bemutatott felállásban a támadó először elindít egy Slack tokenmegerősítő e-mailt, majd amikor az áldozat megkéri a Coworköt, hogy dolgozza fel a leveleit, a beágyazott utasítások ráveszik a rendszert, hogy kinyerje a tokent, és egy HTML piszkozatba illessze. Amikor az áldozat megnyitja a piszkozatot, a token kiszivárog.

A Fastmailhez készült demonstráció az OpenAI Atlas AI böngészőjét vette célba. CSS pszeudo-elemekkel és átlátszósággal a felhasználó csak ártalmatlan szöveget lát, miközben a modell rejtett utasításokat olvas. Amikor a felhasználó megkéri az Atlast, hogy fordítsa le a látható szöveget, a rejtett prompt arra készteti, hogy új lapokat nyisson meg, és az áldozat nevét URL-töredékekbe kódolja. Az OpenAI elavulttá nyilvánította az Atlast, és azt közölte, hogy a böngésző várhatóan 2026. augusztus 9-én áll le.

A további eredmények között szerepel a Fastmail „CSS hotwiring” technikája, amellyel a kattintásokat nem várt, akár több lépésből álló felhasználói felületi műveletekre lehet átirányítani. Egy, a visszaperjel-karakter kikerülésére épülő Fastmail image-proxy megkerülés az allow-listán szereplő user.fm domainre támaszkodik, és felfedi, mikor nyitják meg az e-mailt.

Heyes külön demonstrált egy Proton Mail-támadási vektort is, amely felfedte a címzett IP-címét. A Proton jelenlegi tracker-védelmi dokumentációja szerint a szolgáltatást úgy tervezték, hogy elrejtse a felhasználó személyes IP-címét és az e-mail megnyitásának pontos időpontját.

Az ehhez kapcsolódó nyilvános tároló tartalmazza a bemutatott technikák PoC-it. A védelmi javaslatok a szigorú izolációval kezdődnek, ezt követik a CSS-validációhoz használt karakter-allow-listák, a CSS „gadgetek” ellenőrzése az egyedi attribútumok engedélyezése előtt, a select menük és a veszélyes szelektorok tiltása, valamint a támadó által vezérelt kép-kérések és az allow-listás domainek blokkolása.