Auf den Punkt: Praeparierter CSS-Code in E-Mails kann bei Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail und AOL Mail die Webmail-Oberflaeche manipulieren und so Passwoerter, Tokens und Konten kompromittieren.
Neue Forschungsergebnisse zeigen, dass in E-Mails eingebetteter CSS-Code seine eigentliche Nachrichtengrenze durchbrechen und in die Benutzeroberflaeche von Webmail-Clients eingreifen kann. Betroffen sind Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail und AOL Mail.
Ein Forscher von PortSwigger namens Gareth hat mehrere Angriffsketten dokumentiert, bei denen Inhalte innerhalb einer E-Mail ueber CSS aus ihrem vorgesehenen Darstellungsbereich ausbrechen und Teile der umgebenden Webmail-Oberflaeche manipulieren. Die Techniken wirken sich auf gaengige webbasierte Mail-Clients aus, darunter Microsoft Outlook, Google Mail, Fastmail, Proton Mail, Yahoo Mail und AOL Mail.
Laut der Beschreibung lassen sich mit den Methoden Passwoerter abgreifen, Drittanbieter-Konten uebernehmen, Tokens ausleiten sowie vertrauenswuerdige UI-Aktionen der Mail-Oberflaeche fuer eigene Zwecke missbrauchen. Zusaetzlich wird angegeben, dass sich auch KI-Werkzeuge, die E-Mail-Inhalte automatisiert auslesen und verarbeiten, durch entsprechend praeparierte Nachrichten manipulieren lassen.
Fuer CISOs ergibt sich daraus eine Angriffsflaeche, die klassische E-Mail-Sicherheitsmassnahmen wie Spam- und Phishing-Filter nicht abdecken, da der schaedliche Effekt nicht durch Links oder Anhaenge, sondern durch reguläres CSS im HTML-Teil der Nachricht entsteht. Betroffen sind damit potenziell alle Nutzer, die E-Mails ueber die genannten Webmail-Oberflaechen im Browser abrufen, unabhaengig vom eingesetzten E-Mail-Gateway.
Da es sich um eine strukturelle Schwaeche im Zusammenspiel von HTML/CSS-Rendering und der Trennung zwischen Nachrichteninhalt und Client-Chrome handelt, ist mit Anpassungen auf Seiten der jeweiligen Webmail-Anbieter zu rechnen. Bis entsprechende Patches vorliegen, empfiehlt sich eine Ueberpruefung, ob im eigenen Unternehmen eingesetzte Webmail-Clients zu den genannten Diensten zaehlen, sowie eine Sensibilisierung der Nutzer fuer ungewoehnliches Verhalten der Mail-Oberflaeche beim Oeffnen unbekannter Nachrichten.
Quelle: thehackernews.com · Erschienen 8. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.