CSS: a bomba dentro da sua caixa de entrada
Análise2026-08-07, 13:35
Em seu novo artigo, pesquisadores da PortSwigger mostraram que o CSS moderno em e-mails HTML pode ser usado não apenas para estilizar interfaces, mas também como uma ferramenta de ataque. Eles analisaram Gmail, Outlook, Fastmail, ProtonMail, Yahoo e AOL, demonstrando várias maneiras de abusar dos recursos de CSS em clientes de e-mail onde o JavaScript está bloqueado.
Exfiltração de dados via CSS
Usando seletores CSS e solicitações externas, os atacantes podem extrair gradualmente peças individuais de dados de uma página. No Yahoo/AOL, os pesquisadores conseguiram extrair um token de login do Medium de um rascunho de e-mail.
No Gmail e Fastmail, eles também conseguiram acionar solicitações repetidas do e-mail para um servidor externo, apesar do uso de mecanismos de proxy de imagem.
Ataques a agentes de IA
Através de elementos CSS ocultos e peculiaridades no processamento de HTML, alguns agentes de IA podem interpretar o conteúdo do e-mail de forma diferente do usuário.
Em um PoC, instruções ocultas levaram um agente de IA a acessar dados confidenciais no e-mail, após o que os dados poderiam ser exfiltrados via CSS.
Um keylogger sem JavaScript no Outlook
O PoC mais marcante mostrou que um gadget CSS, :has(), :checked e comportamento específico do Firefox podem ser usados para criar um formulário de login falso dentro do Outlook e rastrear os caracteres inseridos pelo usuário em tempo quase real.
A pesquisa mostra quão significativamente as capacidades de ataques através do conteúdo de e-mail HTML se expandiram. A fronteira entre conteúdo «estático» e lógica executável está se tornando cada vez mais blurred: mesmo sem JavaScript, o CSS pode ser usado para exfiltração de dados, manipulação de interface e influência em agentes de IA. Portanto, filtrar apenas construções HTML perigosas não é mais suficiente — é necessária uma separação arquitetural do conteúdo não confiável dos dados e interface do cliente de e-mail.
Fornecedor
Produto
Mais