Исследователи Searchlight Cyber Кевин Жерво и Адам Кюс опубликовали 28 октября разбор цепочки, которая позволила выполнить JavaScript через сервис обработки изображений Cloudflare. Демонстрация сработала на cloudflare.com: браузер исполнил скрипт в контексте этого сайта, хотя ответ сервера прямо запрещал запуск кода.

Цепочка объединила три механизма. Ошибка очистки SVG позволяла сохранить скрипт в обработанном изображении. Затем Chromium сохранял содержимое в кэш без заголовка Content Security Policy — правил, ограничивающих выполнение кода. Это происходило из-за переданных вместе с изображением указаний по кэшированию. При первом открытии защита действовала; повторная загрузка из кэша уже обходилась без неё. В демонстрации пользователь нажимал ссылку, после чего страница управляла переходами в открытом окне.

Оставалось доставить своё изображение на чужой домен. Для ограниченных настроек источников авторы использовали цепочку перенаправлений через Cloudflare Access; этот вариант требовал включённого Access хотя бы на одном имени внутри зоны. Поэтому результат нельзя распространять на все сайты за Cloudflare. Исследование показывает, что безопасность обработанной картинки зависит и от заголовков, с которыми браузер её получает. Данных о реальных атаках и полном охвате уязвимых сайтов авторы не приводят; статус исправления всей цепочки в публикации не указан.