Los elementos de etiqueta permitidos pueden activar controles fuera del mensaje

Una nueva investigación demuestra que el contenido de un correo electrónico puede salirse de los límites del mensaje e interferir con la interfaz del correo web.

Mediante cadenas de ataques que abarcan Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail y AOL Mail, estas técnicas pueden capturar contraseñas, tomar el control de cuentas de terceros, filtrar tokens, secuestrar acciones de la interfaz de usuario de confianza y manipular herramientas de IA que leen el correo electrónico.

El investigador de PortSwigger, Gareth Heyes, presentó el trabajo en Black Hat USA 2026.

Una cadena de ataques de Outlook/Firefox suplanta la pantalla de inicio de sesión de Microsoft y captura la contraseña que introduce el destinatario. Una vulnerabilidad de pegado de código en Yahoo/AOL puede exponer un token de inicio de sesión de correo electrónico de Medium y permitir que un atacante inicie sesión como la víctima. Una cadena de ataques de Gmail/Cowork puede extraer un token de Slack tras la inyección de mensajes y la interacción del usuario.

El artículo presenta una investigación de prueba de concepto y no informa sobre explotación maliciosa. Las pruebas de concepto públicas siguen disponibles al 8 de agosto.

El investigador afirmó que Fastmail corrigió dos errores de mutación de CSS y que una solución para eludir el proxy de Proton Mail dejó de funcionar cuando la volvió a probar, mientras que el secuestro de etiquetas de Outlook y la solución para eludir image-set() de Gmail seguían funcionando cuando se publicó la investigación el 6 de agosto.

El documento no especifica si se solucionó el problema de la cadena completa de captura de contraseñas de Outlook. Para los proveedores de correo web, recomienda aislar el correo HTML en iframes aislados y restringir estrictamente el uso de CSS, atributos personalizados, menús desplegables y solicitudes de imágenes.

La investigación sigue dos caminos: abusar del HTML y CSS que el correo web ya permite, o crear una discrepancia entre lo que aprueba un sanitizador y lo que finalmente genera el navegador o la aplicación. Ambos pueden traspasar el límite entre un mensaje no confiable y su interfaz confiable.

Outlook muestra cómo se pueden combinar las piezas. Los elementos de etiqueta permitidos pueden activar controles fuera del mensaje, mientras que el JavaScript de la aplicación puede convertir atributos personalizados sanitizados en nuevos nodos DOM que contienen CSS fuera de la lista de permitidos del sanitizador. Un truco de análisis de consultas de medios proporcionó entonces al atacante CSS arbitrario.

La cadena disfraza un elemento select como un campo de contraseña, y Firefox reinicia su temporizador de selección de opciones de aproximadamente un segundo cuando el select sale de la pantalla, lo que hace que la captura sea en tiempo real.

Yahoo Mail y AOL Mail expusieron una ruta diferente. En Firefox, el HTML pegado podía conservar brevemente el CSS activo antes de ser eliminado. En la demostración de Medium, el atacante inicia un flujo de inicio de sesión de correo electrónico, la víctima copia el CSS proporcionado por el atacante al portapapeles y luego lo pega en un borrador de Yahoo o AOL. Las solicitudes resultantes revelan suficiente del token de inicio de sesión de 12 caracteres para que el servidor del atacante lo reconstruya, el cual puede usarse para iniciar sesión como la víctima.

El artículo también presenta una técnica de exfiltración basada en clics para casos en los que la Política de Seguridad de Contenido (CSP) bloquea los recursos externos. Mediante la inyección de estilos y un token numérico que se muestra como texto en el correo electrónico, CSS puede determinar qué dígitos aparecen y con qué frecuencia, ocultar los enlaces que no coinciden y dejar visible el enlace que sí coincide en la página. Un clic de la víctima envía los dígitos y su frecuencia al servidor del atacante.

El correo electrónico conectado a la IA crea otra ruta. El mecanismo de reserva image-set() de Gmail podría realizar una solicitud externa a pesar de la sanitización. Heyes y su colega de PortSwigger, Pete Hendy, lo encadenaron a un correo electrónico de inyección de aviso indirecto procesado por Claude Cowork de Anthropic a través de un conector de Gmail conectado.

En la configuración demostrada, después de que el atacante activara un correo electrónico de confirmación de token de Slack y la víctima solicitara a Cowork que procesara los correos electrónicos, las instrucciones inyectadas provocaron que recuperara el token y lo colocara en un borrador HTML; al visualizar el borrador, se filtró el token.

Una demostración de Fastmail tuvo como objetivo el navegador Atlas AI de OpenAI. Mediante pseudoelementos CSS y opacidad, el usuario podía ver texto inofensivo mientras el modelo leía instrucciones ocultas. Cuando el usuario le pedía a Atlas que tradujera el texto visible, la instrucción oculta provocaba que se abrieran pestañas y se codificara el nombre de la víctima en fragmentos de URL. OpenAI está descontinuando Atlas y ha anunciado que dejará de funcionar el 9 de agosto de 2026.

Otros hallazgos incluyen el "CSS hotwiring" de Fastmail, que puede redirigir clics a acciones de interfaz de usuario no deseadas y de varios pasos. Un método para eludir el proxy de imágenes de Fastmail mediante una barra invertida escapada se basa en un dominio user.fm incluido en la lista de permitidos para revelar cuándo se visualiza un correo electrónico .

Heyes demostró por separado una vulnerabilidad en Proton Mail que exponía la dirección IP del destinatario. La documentación actual de Proton sobre protección contra el rastreo indica que el servicio está diseñado para ocultar la dirección IP personal del usuario y la hora exacta de apertura del correo electrónico.

El repositorio público adjunto contiene pruebas de concepto (PoC) de las técnicas descritas. Las medidas de seguridad comienzan con un aislamiento estricto, seguido de listas de caracteres permitidos para la validación CSS, comprobaciones de elementos CSS antes de permitir atributos personalizados, el bloqueo de menús desplegables y selectores peligrosos, y la prevención de solicitudes de imágenes controladas por el atacante y dominios incluidos en listas de permitidos.