Roubo de senhas via HTML Injection burla CSP estrita no Chrome, Safari e Firefox

O ataque explora uma falha de design no comportamento de formulários e políticas de referenciador: mesmo com CSP estrita, um HTML injetado pode forçar o navegador a enviar credenciais via URL em redirecionamentos, graças à precedência da tag <meta name="referrer"> sobre as políticas definidas pelo servidor. O Chrome é o mais afetado, ele preenche senhas automaticamente mesmo se o atributo action do formulário apontar para domínio externo. Firefox e Safari exigem que o domínio da action corresponda ao contexto de origem para preencher, tornando o ataque menos direto, mas ainda viável com engenharia social ou manipulação de subdomínios.

Essa técnica não é nova em si: a PortSwigger já alertava em março de 2024 que a diretiva form-action no CSP v2 é frequentemente negligenciada, deixando brechas para 'form hijacking'. Mas agora ela voltou com força em 2026, combinada com o aumento explosivo de ataques que convergem no navegador como superfície única, desde ClickFix até roubo de tokens no github.dev e phishing via resumos do ChatGPT. O padrão é claro: o navegador virou o novo ponto crítico de exfiltração, não por bugs de execução, mas por falhas de configuração e má interpretação de padrões web por parte dos desenvolvedores.

A cobertura anterior do CEVIU não tratava dessa vulnerabilidade específica, mas mostrava o mesmo padrão operacional: ataques de um clique que exploram confiança implícita no navegador (VSCode/github.dev), na renderização de conteúdo (ChatGPhish) ou na interação com páginas falsas (Anthropic). O que mudou agora é a técnica, saiu do JavaScript e do webview para o HTML puro, contornando CSP sem executar código, só com tags meta e redirecionamentos. Isso representa uma mudança tática real: os atacantes migraram para vetores que não dependem de execução, mas sim de manipulação de fluxos de navegação e políticas de privacidade mal configuradas.

Empresas que confiam em CSP como barreira principal contra injeção estão expostas, essa falha mostra que política de segurança de conteúdo não protege contra mau uso de padrões legítimos, como referrer e refresh. Um único clique em um link malicioso pode vazar e-mail e senha completos, sem aviso, sem bloqueio de conteúdo e sem necessidade de JS. Para equipes de segurança, isso exige revisão imediata de cabeçalhos HTTP (Referrer-Policy), remoção de unsafe-url em produção e auditoria de todos os endpoints suscetíveis a injeção de HTML, especialmente em sistemas de login, recuperação de senha e páginas de erro personalizadas.