Een beveiligingslek van ongekende omvang treft bijna alle browsers van dit moment en het probleem is zeer lastig te patchen. Oorspronkelijk zouden beveiligingsexperts Robert “RSnake” Hansen and Jeremiah Grossman tijdens de OWASP AppSec 2008 conferentie in New York de details van het 'Clickjacking-lek' onthullen, maar op verzoek van Adobe, Microsoft, Mozilla en andere kwetsbare vendors werd de presentatie opgeschort totdat een update beschikbaar is. De experts zagen zelf ook in dat het onverstandig was om tot full-disclosure over te gaan.

De twee gaven wel een besloten presentatie en de details deed menig expert schrikken. "In een notendop komt het erop neer dat als je een kwaadaardige website bezoekt de aanvaller volledige controle heeft over de links die je browser bezoekt. Het probleem treft alle verschillende browser, behalve zoiets als Lynx. Het probleem heeft niets te maken met JavaScript, dus het uitschakelen van JavaScript in je browser zal je niet helpen. Het is een fundamenteel probleem in de manier waarop je browser werkt en is niet via een eenvoudige patch te verhelpen. Met deze exploit kan de aanvaller, zodra je op een kwaadaardige website zit, je op elke link, button of wat dan ook op de pagina laten klikken zonder dat je dit ziet gebeuren." Hoewel JavaScript niet verplicht is om de aanval uit te voeren, maakt dit het wel een stuk eenvoudiger.

De dreiging is met zowel Microsoft als Mozilla besproken en beide partijen erkenden tegenover de onderzoekers dat het een lastig probleem is zonder eenvoudige oplossing op dit moment. Zowel Internet Explorer 8 en als Firefox 3 zijn kwetsbaar voor de aanval. "De enige oplossing is om browser scripting en plugins uit te schakelen. We beseffen dat we mensen niet veel technische details geven om mee te werken, maar het is het beste wat we nu kunnen doen," aldus Grossman.

NoScript
Giorgio Maone, de ontwikkelaar van de populaire Firefox extensie NoScript, laat weten dat het lek 'echt eng' is. Zijn creatie stopt in de standaard configuratie de meeste aanvallen. Voor 100% beveiliging adviseert hij om de “Plugins|Forbid IFRAME” optie in te schakelen. Hansen bevestigt dat Lynx als een van de weinige browsers niet kwetsbaar is.