به جز کلاه‌برداری‌ها و فیشینگ‌ها، بارگیری یک پیوست HTML و باز شدن آن به‌طور محلی در مرورگر کاربر هرگز به‌عنوان یک تهدید شدید در نظر گرفته نمی‌شد، تا این‌که یک پژوهش‌گر امنیتی به‌تازگی یک روشی ارائه کرد که به مهاجمان اجازه می‌دهد تا فایل‌های ذخیره‌شده در رایانه‌ی یک قربانی را به سرقت ببرند. باراک تاویلی، یک پژوهش‌گر امنیت برنامه، یافته‌های خود را به اشتراک گذاشته است و با موفقیت بااستفاده از یک مسأله‌ی شناخته‌شده‌ی ۱۷ ساله در فایرفاکس، یک حمله‌ی اثبات مفهومی جدید علیه آخرین نسخه‌ی این مرورگر توسعه داده است.
این حمله از روش پیاده‌سازی سیاست منبع یکسان (SOP) فایرفاکس برای شِمای فایل آدرس اینترنتی استفاده می‌کند که به هر فایل موجود در یک پوشه در سیستم اجازه می‌دهد تا به فایل‌های موجود در همان پوشه و زیرپوشه‌ها دسترسی پیدا کند. از آن‌جا که سیاست منبع یکسان برای شِمای فایل به‌طور مشخص در RFC توسط IETF تعریف نشده است، هر مرورگر و نرم‌افزاری آن را به‌صورت متفاوت پیاده‌سازی کرده است، برخی‌ها با همه‌ی فایل‌های موجود در یک پوشه به‌عنوان منبع یکسان رفتار می‌کنند، در حالی‌که برخی دیگر با هر فایل به‌عنوان یک منبع متفاوت رفتار می‌کنند.
تاویلی بیان کرد که فایرفاکس تنها مرورگر بزرگی است که در طول زمان پیاده‌سازی ناامن سیاست منبع یکسان خود را برای شِمای فایل آدرس اینترنتی تغییر نداده است و از Fetch API در پروتکل فایل پشتیبانی می‌کند.
اگرچه ضعف پیاده‌سازی فایرفاکس طی سالیان گذشته بارها و بارها در اینترنت مورد بحث قرار گرفته است، اما این اولین بار است که شخصی یک حمله‌ی اثبات مفهومی کامل توسعه داده است که امنیت و حریم خصوصی میلیون‌ها کاربر فایرفاکس را در معرض خطر قرار می‌دهد.
تاویلی از ترکیب این مسأله‌ی قدیمی با یک حمله‌ی Clickjacking و یک اشکال «تعویض متن» بهره‌برداری می‌کند که به کد بهره‌برداری او اجازه می‌دهد تا به‌طور خودکار فهرستی از همه‌ی فایل‌های واقع در همان پوشه و زیرپوشه‌هایی که HTML مخرب در آن‌جا توسط مرورگر بارگیری شده یا توسط قربانی به‌طور دستی ذخیره شده است، تهیه کند. سپس محتوای هر فایل خاص یا همه‌ی فایل‌ها را با استفاده از Fetch API بخواند و سپس داده‌های جمع‌آوری‌شده را از طریق درخواست‌های HTTP به یک سرور راه دور ارسال کند.
برای یک حمله‌ی موفقیت‌آمیز، مهاجمان باید قربانیان را برای بارگیری و باز کردن یک فایل HTML مخرب در مرورگر وب فایرفاکس و کلیک روی یک کلید جعلی فریب دهند. تاویلی بیان کرد که تمام اقدامات گفته‌شده بلافاصله پس از کلیک روی کلید در صفحه‌ی HTML مخرب، می‌تواند به‌طور مخفیانه در پس‌زمینه و در عرض چند ثانیه بدون اطلاع قربانیان اتفاق بیفتد.
لازم به ذکر است که این روش تنها به فایل HTML اجازه می‌دهد تا به سایر فایل‌ها در همان پوشه و زیرپوشه‌های آن دسترسی پیدا کند. تاویلی در سناریوی حمله‌ی اثبات مفهومی خود نشان می‌دهد که در صورتی‌که کاربر فایل‌های بارگیری‌شده را در مسیری که حاوی کلیدهای SSH در زیرپوشه‌های خود است، ذخیره کند، یک مهاجم به‌راحتی می‌تواند کلیدهای محرمانه‌ی SSH قربانیان لینوکس را به سرقت ببرد.
این پژوهش‌گر یافته‌های جدید خود را به موزیلا گزارش داد و فایرفاکس پاسخ داد که پیاده‌سازی سیاست منبع یکسان آن به هر آدرس اینترنتی فایل اجازه می‌دهد تا به فایل‌های موجود در همان پوشه یا زیرپوشه دسترسی پیدا کند. این پاسخ نشان می‌دهد که درحال‌حاضر فایرفاکس قصد ندارد به این زودی این مسأله را در مرورگر خود رفع کند.
