¿Es el correo electrónico un vector directo para XSS?

La respuesta a tu pregunta es "Sí" , pero lo estás haciendo mal. Hoy en día, XSS por correo electrónico solo es realmente relevante cuando se lee un correo electrónico con un navegador web. Los clientes de correo modernos ya no analizan las secuencias de comandos de forma predeterminada.

El servicio de correo en el que está leyendo el correo electrónico (como objetivo / víctima) debería tener un punto de inyección XSS disponible para que un atacante se aproveche. Esto se ha visto anteriormente en más de un par de servicios, pero aún así se soluciona fácil y rápidamente, por lo que el problema es poco frecuente.

Usted mencionó que el correo electrónico provenía de @ example.com, pero eso no le preocupa ningún posible ataque. En el pasado, he visto principalmente que el problema surge cuando el servicio de correo filtra incorrectamente los encabezados de correo o la información del usuario que luego permite la inyección de código.

Y para abordar la última parte de su pregunta: su código se ejecutará bajo el dominio del servicio de correo donde se ejecuta. Solo se podría ejecutar en example.com si también encontró una XSS vuln en example.com y pudo llamar desde el servicio de correo de inyección de XSS.

Sí , esta es una preocupación muy seria cuando se trata de leer su correo electrónico a través de un navegador web. De hecho, gmail ha tenido este suceso algunos different ways . En un sentido más amplio, XSS dentro de un correo electrónico podría usarse para propagar un gusano basado en correo electrónico. La carga útil de XSS tiene acceso a su lista de contactos y también la capacidad de enviar correos electrónicos como usted. Esto es similar al Sammy XSS Worm .

Cuando se trata de un cliente como Outlook o Thunderbird, esto realmente no es un problema porque el contexto en el que se ejecuta el script es en gran medida inútil para el atacante. Aunque este tipo de vulnerabilidad ha ocurrido y este tipo de XSS podría ser útil para entregar un exploit del lado del cliente como un desbordamiento de búfer basado en html o javascript. El emparejamiento de XSS en thunderbird con un desbordamiento de búfer conduciría a un gusano de correo electrónico muy desagradable.