Damit läßt sich einem potenziellen Opfer z. B. ein echter Bank-Server vorgaukeln, obwohl man auf einem präparierten Phishing-Server ist. Gibt man dann – im Vertrauen auf die richtige URL in der Adresszeile – seine PIN und TAN ein, hat der Phisher leichtes Spiel.
Die Lücke basiert nach Angaben von Hai Nam Luke auf dem unvollständigen Laden von Inhalten in dasselbe Browserfenster mittels der JavaScript-Funktion window.open(). Hierbei wird die window.location nicht richtig gesetzt und der neue Inhalt mit falscher URL angezeigt.
Eine Demo der Schwachstelle ist auf den Webseiten des Sicherheitsdienstleisters Secunia zu finden. Abhilfe schafft derzeit nur das Abschalten von Active Scripting.