L'esfiltrazione CSS è una tecnica di attacco che abusa delle regole di stile e del normale comportamento del browser per divulgare informazioni da una pagina renderizzata. Invece di eseguire script, un attaccante usa selettori CSS, effetti di layout e funzionalità di caricamento delle risorse per indurre il browser a rivelare se sono presenti determinati testi, attributi o stati. Questi piccoli segnali possono essere trasformati in richieste a un server controllato dall'attaccante, esponendo i segreti un bit alla volta.
Questo è importante perché molte applicazioni web renderizzano HTML non attendibile all'interno di sessioni autenticate. Se la sanitizzazione consente un potere di stilizzazione sufficiente, CSS può diventare un canale covert per password, token, dati dell'account o altri contenuti sensibili. In attacchi reali, spesso si presenta come esfiltrazione cieca: la vittima non vede mai la fuga di dati, ma il browser richiede silenziosamente asset diversi a seconda del contenuto della pagina. Le difese includono una sanitizzazione rigorosa di HTML e CSS, una Content Security Policy, il blocco delle risorse esterne, l'isolamento del rendering non attendibile e il trattamento di email o contenuti generati dagli utenti come ostili per impostazione predefinita.