Peneliti PortSwigger, Gareth Heyes, mendemonstrasikan bahwa CSS — bahasa styling yang selama ini dianggap hanya mempercantik tampilan — dapat dipersenjatai untuk mencuri password, membajak sesi, dan memanipulasi AI tools yang membaca inbox pengguna. Riset ini mencakup rantai serangan nyata terhadap Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail, dan AOL Mail, sekaligus memperlihatkan bahwa sanitasi CSS pada webmail masih memiliki lubang yang dapat dieksploitasi secara praktis.
APA YANG TERJADI?
Inti permasalahan terletak pada asumsi bahwa styling dalam email tidak dapat keluar dari batas pesan yang ditempelinya. Heyes menemukan dua pendekatan untuk meruntuhkan asumsi tersebut: menyalahgunakan fitur CSS yang memang diizinkan webmail, atau mengeksploitasi celah antara apa yang disetujui content sanitizer dengan apa yang sebenarnya dirender browser. Kedua jalur ini memungkinkan konten dari email yang tidak dipercaya berinteraksi dengan antarmuka tepercaya di sekitarnya.
Rantai serangan pada Outlook adalah yang paling mengkhawatirkan. Elemen label yang diizinkan dapat memicu kontrol di luar email, sementara JavaScript milik Outlook sendiri mampu mengubah custom attributes yang telah disanitasi menjadi elemen halaman baru yang membawa properti CSS di luar aturan sanitizer. Heyes memanfaatkan ini untuk menyamarkan dropdown menu sebagai kolom password, dan karena Firefox mereset timer seleksi sekitar satu detik setiap kali dropdown bergerak keluar layar, serangan ini menangkap apa pun yang diketik korban hampir secara real-time.
DETAIL TEKNIS
Konsep kunci dalam riset ini adalah CSS gadget: kondisi ketika JavaScript yang sudah ada pada aplikasi menambahkan elemen ke DOM dengan properti atau nilai CSS di luar allow list sanitizer webmail. Pada Outlook, Heyes menemukan gadget nyata berupa position:fixed yang memungkinkan elemen diposisikan di mana saja pada halaman, memecah batas kepercayaan pesan email. Sementara itu, Yahoo Mail dan AOL Mail memiliki celah pada proses copy-paste: HTML yang ditempel ke draft dapat mempertahankan styling aktif sebelum sanitasi menghilangkannya, dan celah ini dipakai untuk membocorkan token login 12 karakter pada alur sign-in Medium.
Bagian paling mengkhawatirkan adalah keterkaitannya dengan AI. Fallback image-set() pada Gmail dapat memicu permintaan eksternal meski telah disanitasi, dan Heyes merangkainya menjadi serangan indirect prompt injection pada email yang diproses oleh Claude Cowork milik Anthropic melalui integrasi Gmail. Instruksi tersuntik membuat AI mengambil token dan menaruhnya di draft HTML; membuka draft tersebut membocorkan token tersebut. Demonstrasi terpisah terhadap browser Atlas milik OpenAI menggunakan hidden CSS pseudo-elements untuk menampilkan teks polos kepada manusia sementara model AI membaca instruksi tersembunyi yang berbeda. Fastmail telah menambal dua bug mutasi CSS, dan bypass proxy Proton Mail sudah tidak berfungsi, namun trik label-jacking Outlook dan bypass image-set() Gmail masih bekerja per 6 Agustus 2026.
DAMPAK TERHADAP INDONESIA
Pengguna email di Indonesia sangat bergantung pada Gmail, Outlook, dan Yahoo Mail — baik untuk komunikasi pribadi maupun korporasi. Adopsi AI email tools seperti asisten ringkasan inbox dan integrasi AI pada layanan email juga meningkat seiring maraknya layanan berbasis AI. Risiko prompt injection yang mengeksploitasi AI yang terhubung ke inbox menjadi ancaman nyata bagi perusahaan yang mulai mengotomatisasi pengelolaan email menggunakan AI, karena satu email berbahaya dapat mengubah perilaku AI dan membocorkan data internal tanpa sepengetahuan pengguna.
REKOMENDASI MITIGASI
PortSwigger merekomendasikan penyedia webmail untuk mengisolasi email HTML di dalam sandboxed iframe, membatasi CSS pada strict character allow-list, memeriksa dangerous CSS gadgets sebelum mengizinkan custom attributes, serta memblokir permintaan gambar ke domain di luar daftar yang disetujui. Bagi pengguna di Indonesia, hindari memasukkan kredensial pada halaman yang mencurigakan, waspada terhadap email dengan elemen visual yang tidak lazim, dan verifikasi keaslian token atau kode masuk yang diterima melalui email sebelum digunakan.
Analisa Retasan
Root cause dari riset ini adalah kesalahan fundamental dalam model keamanan webmail: memperlakukan CSS sebagai data pasif yang tidak berbahaya, padahal CSS pada browser modern mampu berinteraksi dengan layout, event, dan rendering di luar batas elemen asalnya. Gap antara yang disetujui sanitizer dengan yang dirender browser — yang diperparah oleh keberadaan CSS gadget pada JavaScript aplikasi itu sendiri — menciptakan trust boundary yang dapat ditembus tanpa JavaScript injection klasik. Ini menjelaskan mengapa pendekatan sanitasi berbasis allow-list saja tidak pernah cukup untuk menahan kelas serangan ini.
Cross-reference dengan riset keamanan sebelumnya memperkuat kesimpulan ini. Kelas kerentanan ini sejajar dengan mutation XSS (mXSS) dan berbagai bypass DOMPurify yang telah lama menjadi bahan perburuan peneliti, namun kini vektor yang dieksploitasi berpindah dari markup HTML ke properti CSS murni. Lebih jauh, kaitan dengan indirect prompt injection pada AI agents — seperti serangan terhadap model yang terhubung ke Gmail — menunjukkan konvergensi dua tren besar: kerentanan klasik pada sanitasi input dan kerentanan baru pada rantai kepercayaan AI agents. Pola serangan ini mirip dengan temuan sebelumnya yang mengeksploitasi tool AI untuk mengeksekusi instruksi tersembunyi di dalam konten yang diproses.
Bagi Indonesia, implikasi paling penting adalah meningkatnya permukaan serangan pada otomatisasi email berbasis AI yang mulai diadopsi perusahaan dan instansi. Kebocoran token atau sesi melalui CSS attack dapat menjadi titik masuk bagi pencurian kredensial yang berujung pada akses tidak sah ke layanan korporasi. Organisasi di Indonesia perlu meninjau kembali kebijakan integrasi AI dengan layanan email, memastikan setiap integrasi memiliki sandbox dan permission minimal, serta membangun literasi keamanan bagi pengguna yang kerap menjadi mata rantai terlemah dalam rantai serangan semacam ini.
Sumber: SecurityAffairs — Webmail CSS Attacks Expose a New Risk for AI-Powered Email Tools dan PortSwigger Research
