Im Kern beschreibt die Forschung zwei Wege: Entweder werden HTML- und CSS-Funktionen missbraucht, die Webmail bereits erlaubt, oder es wird eine Diskrepanz zwischen dem ausgenutzt, was ein Sanitizer freigibt, und dem, was Browser oder Anwendung am Ende tatsächlich erzeugen. In beiden Fällen kann die Grenze zwischen einer nicht vertrauenswürdigen Nachricht und der vertrauenswürdigen Benutzeroberfläche überschritten werden.
Outlook zeigt laut PortSwigger besonders deutlich, wie sich einzelne Bausteine kombinieren lassen. Erlaubte label-Elemente können Steuerelemente außerhalb der Nachricht auslösen. Gleichzeitig kann JavaScript der Anwendung bereinigte benutzerdefinierte Attribute in neue DOM-Knoten umwandeln, die CSS außerhalb der Zulassungsliste des Sanitizers tragen. Ein Trick bei der Auswertung von Media Queries verschaffte dem Angreifer dann beliebiges CSS. In einer Outlook/Firefox-Kette wird so ein Microsoft-Anmeldebildschirm vorgetäuscht und das vom Empfänger eingegebene Passwort abgefangen. Die Kette tarnt ein select-Element als Passwortfeld; Firefox setzt seinen ungefähr einsekündigen Timer für die Auswahl von Optionen zurück, wenn das select-Element außerhalb des sichtbaren Bereichs verschoben wird, wodurch die Erfassung in Echtzeit möglich wird.
Bei Yahoo Mail und AOL Mail beschreibt das Papier einen anderen Weg. In Firefox konnte eingefügtes HTML für kurze Zeit aktives CSS behalten, bevor die Bereinigung greift. In der Medium-Demonstration startet der Angreifer einen E-Mail-Anmeldevorgang, das Opfer kopiert vom Angreifer bereitgestelltes CSS in die Zwischenablage und fügt es in einen Yahoo- oder AOL-Entwurf ein. Die dadurch ausgelösten Anfragen verraten genug von dem 12 Zeichen langen Anmeldetoken, damit der Server des Angreifers es rekonstruieren kann. Anschließend kann sich der Angreifer laut Papier als Opfer bei Medium anmelden.
Für Fälle, in denen eine Content Security Policy externe Ressourcen blockiert, stellt das Papier zudem eine klickbasierte Exfiltrationstechnik vor. Wenn Style-Injection möglich ist und ein numerisches Token im E-Mail-Inhalt als Text erscheint, kann CSS ermitteln, welche Ziffern vorkommen und wie oft. Nicht passende Links werden verborgen, während der passende Link über die Seite gelegt wird. Ein Klick des Opfers übermittelt dann Ziffern und Häufigkeit an den Server des Angreifers.
Auch KI-verbundene E-Mail-Funktionen geraten in den Blick. Ein image-set()-Fallback in Gmail konnte trotz Bereinigung eine externe Anfrage auslösen. Heyes kombinierte dies zusammen mit dem PortSwigger-Kollegen Pete Hendy mit einer indirekten Prompt-Injection-Mail, die über einen verbundenen Gmail-Connector von Anthropic’s Claude Cowork verarbeitet wurde. In der gezeigten Konfiguration löste der Angreifer zunächst eine Bestätigungs-E-Mail für ein Slack-Token aus. Als das Opfer Cowork bat, die E-Mails zu verarbeiten, sorgten die eingeschleusten Anweisungen dafür, dass das Token abgerufen und in einem HTML-Entwurf abgelegt wurde; das Anzeigen des Entwurfs ließ es abfließen.
Eine Fastmail-Demonstration zielte auf OpenAI’s Atlas AI browser. CSS-Pseudoelemente und Opazität sorgten dafür, dass ein Mensch harmlosen Text sah, während das Modell versteckte Anweisungen las. Wenn der Nutzer Atlas bat, den sichtbaren Text zu übersetzen, veranlasste der verborgene Prompt das Werkzeug dazu, Tabs zu öffnen und den Namen des Opfers in URL-Fragmenten zu kodieren. OpenAI stellt Atlas nach eigenen Angaben ein; der Dienst soll am 9. August 2026 nicht mehr funktionieren.
Zu den weiteren Befunden zählt Fastmail-“CSS-Hotwiring”, das Klicks auf unbeabsichtigte und mehrstufige Bedienaktionen umlenken kann. Ein Fastmail-Bypass des Bild-Proxys über einen maskierten Backslash stützt sich auf die freigegebene Domain user.fm, um offenzulegen, wann eine E-Mail angesehen wird. Heyes demonstrierte außerdem separat einen Proton-Mail-Vektor, der die IP-Adresse des Empfängers preisgab. In der aktuellen Dokumentation zum Trackerschutz erklärt Proton, der Dienst sei darauf ausgelegt, die persönliche IP-Adresse eines Nutzers und den genauen Zeitpunkt des Öffnens einer E-Mail zu verbergen.
Das öffentliche Repository zur Forschung enthält PoCs für die offengelegten Techniken. Als Abwehrmaßnahmen empfiehlt das Papier für Webmail-Anbieter vor allem die strikte Isolation von HTML-E-Mails in sandboxed iframes sowie starke Einschränkungen für CSS, benutzerdefinierte Attribute, Auswahlmenüs und Bildanfragen. Hinzu kommen Zeichen-Zulassungslisten für die CSS-Prüfung, Kontrollen auf CSS-Gadgets vor der Freigabe benutzerdefinierter Attribute, das Blockieren von select-Menüs und gefährlichen Selektoren sowie das Unterbinden von durch Angreifer kontrollierten Bildanfragen und freigegebenen Domains.