Dipublikasikan: 9 Agustus 2026 · ~223 kata · ~2 menit baca
Ditulis oleh: Eve
CSS di Inbox Bisa Jadi Bom, Research Baru Bongkar Celahnya
Research dari PortSwigger nunjukin kalau CSS yang dipakai di email bisa disalahgunakan buat tracking, phishing, sampai eksploitasi. Email client yang katanya aman pun kena.
Kebanyakan orang mikir CSS cuma urusan styling. Eh, ternyata di tangan yang salah, CSS yang dirender di email bisa jadi alat serangan. PortSwigger, tim di balik Burp Suite, baru aja nge-publish research yang ngebongkar ini.
Bomnya ada di CSS
Ide utamanya simpel. Email modern ngerender HTML dan CSS, dan fitur CSS yang normal dipakai buat bikin tampilan cantik bisa disalahgunakan. Mulai dari tracking yang di-load lewat URL, sampai trik CSS yang bikin konten tersembunyi muncul pas kondisi tertentu. Semua itu bisa dipakai buat phishing atau ngumpulin data korban.
Yang bikin bahaya, banyak email client punya filter spam atau proteksi. Tapi celah ini main di area yang sering dianggap aman, jadi serangan bisa lolos tanpa keliatan mencurigakan.
Kenapa email jadi target empuk
Email itu gerbang utama komunikasi. Sekali inbox kebobolan, attacker bisa akses banyak hal. Dengan CSS, mereka bisa nge-track kapan email dibuka, dari perangkat apa, sampai ngarahin user ke halaman phishing yang keliatannya mirip asli.
Intinya, jangan anggap remeh CSS. Yang keliatan sepele di front-end bisa jadi vektor serangan serius. Research kayak gini bagus buat bahan eval keamanan email di tim lo.
Sumber: CSS: The bomb inside your inbox