A ha.ckers.org-on jelent meg Tim Strinpling egy értekezése a Google Gadgetek lehetséges CSRF támadásáról. A régi mondás, mely szerint, ha a fejlesztők egy hibáról úgy gondolják, hogy lehetetlen kihasználni, jön valami srác Finnországból és kihasználja (vagy valami ilyesmi) ismét beigazolódott: az elméletet beford néhány napon belül gyakorlatra váltotta.
Ha új Gadgetet veszünk fel az iGoogle nyitóoldalunkra, az új kütyü megjelenítési információi (jó AJAX alkalmazáshoz méltóan) XML-ben kerülnek átadásra. A baj az, hogy ennek az fájlnak betöltését idegenként is kezdeményehetjük, és bár a tartalom jó része megfelelő szűrésen esik át, egy entitás, a <screenshot> JavaScript kódot tartalmazhat. Ez ugyan csak IE6 alatt fut le img tagbe ágyazva (végre nem a Firefoxot kell szídnom :)), de ha jól emlékszem még mindig ez az első vagy második legelterjedtebb böngésző a weben. A PoC így néz ki, ha be vagytok jelentkezve a Google-be , akkor ide kattintva aktiválhatjátok a kódot a kezdőoldalatokon (azt hiszem az iGoogle szolgáltatást is engedélyezni kell).