Una CSS bomb è un payload HTML e CSS costruito appositamente che abusa del modo in cui un browser o un client di webmail visualizza i contenuti. Invece di fare affidamento su JavaScript, usa stili, selettori, particolarità del layout e markup consentito per influenzare ciò che l'utente vede o ciò che il client elabora. In un contesto di webmail, questo può aiutare un attaccante a nascondere o rimodellare elementi dell'interfaccia, sondare stati sensibili o creare canali laterali che esfiltrano informazioni.
È importante perché le difese moderne spesso si concentrano sul blocco degli script, ma anche il solo CSS può influire sui confini di sicurezza. Se un sanitizzatore consente troppa struttura o stilizzazione, la posta controllata dall'attaccante può interagire con funzionalità dell'interfaccia affidabili come moduli, compilazione automatica o viste autenticate. I difensori riducono il rischio con un allowlisting rigoroso, un forte isolamento del rendering e test sul comportamento reale del browser, non solo sull'output atteso del sanitizzatore.