🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
CSS в письме может увести твой пароль
Гарет Хейс из PortSwigger изучил санитайзеры Yahoo, Gmail, Outlook, Fastmail и ProtonMail. Он показал, как разрешённый CSS ворует токены, подменяет интерфейс и перехватывает ввод.
Тег label с атрибутом for кликает по чужим кнопкам интерфейса почты. В Outlook так открывается лента и закрепляется письмо — Microsoft это до сих пор не починила.
Псевдоэлементы :before и :after прячут текст от человека, но не от языковой модели. Так в браузере Atlas от OpenAI получается непрямая инъекция промпта прямо из письма.
🔗 Подробнее
@nuancesprog #Security