BurpSuite官方·· 2026-08-07精选推荐指数74
PortSwigger 论文揭示 Webmail CSS 消毒器可被用于窃取 token、注入提示词与键盘记录
CSS:the bomb inside your inbox
AI 导读
Gareth Heyes 在 PortSwigger 发表论文，展示如何利用 Webmail 客户端对不可信 CSS 的消毒与浏览器渲染之间的差异，突破信任边界、窃取 token、控制 AI 浏览器乃至窃取密码。
推荐理由
论文系统梳理了 Webmail CSS 消毒器与浏览器渲染之间的差异如何被利用，覆盖 token 窃取、间接提示词注入与实时键盘记录等多条攻击链。
来源：BurpSuite官方 · portswigger.net