D'après le blog de Robert Chapin, un spécialiste en services d'information et en sécurité informatique, Mozilla Firefox et Internet Explorer seraient une proie facile pour les hackers qui cherchent à dévoiler les informations personnelles des utilisateurs d'un service quelconque, notamment les mots de passe.

Grâce à Cette faille, un hacker peut utiliser les plateformes de chat, les forums et les blogs qui acceptent des codes en HTML (Myspace.com est l'un des sites touchés), pour insérer un script qui permet la requête des noms d'utilisateurs et mots de passe, même quand il s'agit d'un site "de confiance". Le script, en forme de formulaire, peut récupérer les informations enregistrées sur le navigateur si l'utilisateur utilise l'option de sauvegarde pour saisie automatique. Ce formulaire peut être invisible ou caché sous forme d'un lien quelque part derrière une image ou un texte. Lorsque l'utilisateur clique sur un tel lien, une requête sur d'autres sites est envoyée, contenant ces informations.

Mozilla a confirmé la présence de ce bug et a assuré qu'elle est entrain d'établir une mise à jour qui éliminerait ce risque, dans la version 2.0.0.1 ou 2.0.0.2. Microsoft de sa part a assuré qu'elle est "consciente de la taille de ce risque", mais elle "ne peut donner de commentaires sur les investigations en cours, question de politique".

Les webmasters doivent être assez conscients à ce propos surtout lorsqu'il s'agit d'autoriser l'insertion d'un contenu tolérant le code HTML dans leurs sites. Les utilisateurs, de leur part, doivent faire attention aux données qu'il révèlent aux formulaires, surtout lorsque l'option de sauvegarde des paramètres d'accès est activée dans leurs navigateurs.

Mais le risque dépasse encore plus ce niveau, puisqu'il y a aussi une possibilité d'injections XSS et RCSR (chez les opérateurs de sites à contenu crypté) surtout que ces attaques peuvent dépasser les pare-feux et les serveurs de réseaux locaux ainsi que les adresses HTTPS. Généralement, le changement de l'apparence de la page visitée peut, dans plusieurs cas, être un indice d'intrusion CSFR et RCSR, assurant la récupération des informations de l'utilisateurs, même si les scripts sont désactivés dans les paramètres de l'utilisateur.