PortSwigger研究员Gareth Heyes展示了如何通过绕过主流Web邮件客户端的CSS沙箱来泄露令牌、窃取密码并劫持账户，涵盖Gmail、ProtonMail、Fastmail和Outlook。研究揭示了图片代理绕过、CSS变异技术等多种攻击向量。
背景
PortSwigger是知名的Web安全研究实验室。Web邮件客户端需要对未信任的HTML/CSS进行沙箱处理以防止XSS，但沙箱与真实浏览器渲染之间的差异可能产生攻击面。
- 来源
- Lobsters
- 发布时间
- 2026年8月18日 21:30
- 评分
- 8.0 / 10