近期由 PortSwigger 研究員 Gareth Heyes 在 Black Hat USA 2026 上發表的一項研究揭露了 Webmail 網頁郵件系統的一個重大安全漏洞。該研究指出，攻擊者可以利用 CSS 級聯樣式表（Cascading Style Sheets，用於定義網頁視覺呈現的語言）與 HTML 的組合，讓惡意內容突破郵件正文的邊界，直接干擾並操控網頁郵件的介面。這種攻擊方式能讓攻擊者在不依賴傳統惡意軟體的情況下，竊取使用者的密碼、認證令牌（Tokens）甚至劫持第三方帳號。
背景與核心問題
現代網頁郵件服務如 Gmail、Outlook、Yahoo Mail 等，為了讓使用者能看到精美的電子郵件，必須允許郵件內容包含部分 HTML 與 CSS。為了防止攻擊，服務商會使用清理器（Sanitizer），這是一種過濾機制，旨在移除危險的標籤或屬性，確保郵件內容被限制在一個安全的範圍內，不會影響到郵件服務本身的介面（UI）。
然而，本次研究發現，攻擊者可以利用清理器與瀏覽器解析方式之間的差異，創造出一種邊界突破。簡單來說，有些 CSS 或 HTML 屬性雖然通過了清理器的檢查，但在瀏覽器實際渲染時，卻能產生超出郵件範圍的影響，從而操控網頁郵件的介面元素，將信賴的系統介面轉化為攻擊工具。
多樣化的攻擊路徑與實作
研究者針對多家主流郵件服務展示了不同的攻擊鏈，證明了 CSS 攻擊的靈活性。
在 Outlook 與 Firefox 的組合中，攻擊者利用了被允許的標籤元素來觸發郵件外部的控制項，並結合 JavaScript 將清理後的自定義屬性轉化為新的 DOM 節點（文件物件模型，網頁結構的邏輯表示），進而注入任意 CSS。最危險的是，攻擊者能將一個下拉選單（Select element）偽裝成微軟的登入密碼欄位，利用 Firefox 在元素移出螢幕時會重設選項選擇計時器的特性，實現即時的密碼擷取。
針對 Yahoo Mail 與 AOL Mail，研究員利用了 Firefox 處理貼上 HTML 時的暫時性漏洞。當使用者將惡意 CSS 貼到草稿箱時，這些樣式在被清理器處理前會短暫生效。透過這種方式，攻擊者可以誘導使用者執行特定的登入流程，並在短時間內重建出 12 位元的登入令牌，從而直接以受害者的身份登入帳號。
此外，研究還探討了在內容安全政策（CSP，一種防止跨站腳本攻擊的安全機制）限制外部資源請求時的對策。攻擊者可以使用基於點擊的數據外洩技術：透過 CSS 判斷郵件中數字令牌的出現頻率，隱藏不匹配的連結並僅留下正確的連結，當使用者點擊時，令牌資訊便會傳送到攻擊者的伺服器。
AI 整合帶來的新風險
隨著 AI 助手與電子郵件的深度整合，攻擊面進一步擴大。研究發現 Gmail 的 image-set() 函數在某些情況下能繞過清理機制發起外部請求。研究員將此特性與間接提示詞注入（Indirect Prompt Injection，一種透過外部輸入操縱 AI 模型行為的攻擊）結合，讓 Anthropic 的 Claude Cowork AI 在處理郵件時，被誘導將 Slack 的認證令牌提取到 HTML 草稿中，進而導致令牌外洩。
同樣地，在 Fastmail 的測試中，攻擊者利用 CSS 偽元素（Pseudo-elements）與透明度設定，讓人類使用者看到的是無害文字，但讓 OpenAI 的 Atlas AI 讀到的是隱藏指令。當使用者要求 AI 翻譯文字時，AI 會在不知情的情況下開啟新分頁並將使用者姓名編碼至 URL 中傳出。
影響、限制與防禦建議
這次研究對網路安全實務具有重要意義，它證明了即便沒有執行 JavaScript，僅靠 CSS 也能達成高度複雜的攻擊。雖然部分服務商如 Fastmail 已修復相關漏洞，且 OpenAI 計劃停止 Atlas AI 服務，但部分漏洞在研究發表時依然存在。
這類攻擊的主要限制在於需要特定的瀏覽器行為或使用者的互動（如點擊、貼上），且部分攻擊鏈依賴於特定瀏覽器與郵件服務的組合。然而，由於 CSS 的複雜性，完全封鎖所有潛在路徑極其困難。
針對 Webmail 提供者，研究建議採取更嚴格的隔離措施。首先應將 HTML 郵件完全封裝在沙盒化的 iframe（內嵌框架）中，使其與主介面徹底隔離。其次，應實施嚴格的 CSS 驗證白名單，限制自定義屬性、下拉選單以及危險的選擇器。最後，應嚴格管控影像請求與允許的網域，防止攻擊者利用資源請求來外洩敏感資訊。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。