harden-mac MLでの情報によると、Webkitを使用したアプリケーション(Mail.appなど)に、画像に設定されたリンクのリンク先を偽装できる脆弱性があることがわかった。Safariにこの問題があることが先週報告されていたが(Secuniaのセキュリティ勧告SA17618)、Webkit全般の問題であることがわかったもの。SA17618では例として、以下のコードが挙げられている。

<form action="[malicious site]">
<a href="[trusted site]"><input type="image" src="[image]"></a>
</form>

[image]からのリンク先は、ポップアップやステータスバーでは[trusted site]と表示されるが、クリックすると実際には[malicious site]へアクセスしてしまう。
SecuniaのSA17618では、危険性の評価は最も低い“Not critical”となっているが、Webkit自体に問題があることを報じているSecure OS Xの記事では、フィッシングに悪用される恐れがあるとして、HTMLメールでのソースの確認、個人情報を入力する際のサイトの確認、同じパスワードを使い回さないといった基本的な対策を提示している。