SecBoard
Zurück zur Übersicht

Inline Style Exfiltration: leaking data with chained CSS conditionals

PortSwigger Research·
Originalartikel lesen bei PortSwigger Research

I discovered how to use CSS to steal attribute data without selectors and stylesheet imports! This means you can now exploit CSS injection via style attributes! Learn how below: Someone asked if you c

Kurzfassung

Der Artikel beschreibt Inline-Style-Exfiltration, bei der CSS genutzt wird, um Attributdaten ohne Selektoren und Stylesheet-Imports zu stehlen. Der Text nennt CSS-Injection über Style-Attribute als relevanten Kontext. Konkrete betroffene Produkte, CVEs oder IOCs sind nicht angegeben.

Relevanz für Manager / CISOs
Priorität:Hoch
Betroffene

Webanwendungen mit CSS-Injection-Möglichkeiten über Style-Attribute; konkrete Betroffene sind nicht im Artikel angegeben

Warum relevant

CSS-Injection kann zu Datenabfluss führen, auch wenn klassische Skript-Ausführung nicht möglich ist.

Realistisches Worst Case

Sensible Attributdaten können über CSS-Mechanismen offengelegt werden, sofern eine entsprechende Injection möglich ist.

Handlungsempfehlung

Inline-Styles aus nicht vertrauenswürdigen Quellen unterbinden, Eingaben sanitizen und Content-Security-Policy sowie Template-Sicherheit prüfen.

Defensive Validierung / Purple-Team Checks
  • Defensiver Check 1: Prüfen, ob nutzergesteuerte Inhalte in style-Attribute gelangen können.
  • Defensiver Check 2: Sanitizer-Regeln auf CSS-Eigenschaften, bedingte CSS-Logik und erlaubte Inline-Styles prüfen.
  • Defensiver Check 3: CSP und Output-Encoding für Templates validieren, die HTML-Attribute aus Benutzereingaben erzeugen.
Offene Punkte
  • Konkrete betroffene Produkte sind nicht im Artikel angegeben.
  • Konkrete CVEs sind nicht im Artikel angegeben.
  • Exfiltrationsziele oder IOCs sind nicht im Artikel angegeben.