Problem polega na ignorowaniu przez większość popularnych przeglądarek (nie tylko Internet Explorer, lecz także w niektórych warunkach Mozilla Firefox, Opera i Safari są podatne na atak) nagłówka Content-Type. Przeglądarki te automatycznie ustalają typ MIME pliku.

Dzięki temu wprowadzając w arkuszu kalkulacyjnym kod JavaScript indeksujący pliki cookie, a następnie eksportując arkusz do formatu CSV mogliśmy obejrzeć zawartość cookie użytkownika.

"Za pomocą tej luki Cross-Site Scripting mogłem czytać korespondencję Gmail ofiary, wstawiać backdoory w jej skrypcie na code.google.com, kraść dokumenty Google'a i w gruncie rzeczy robić wszystko w Google'u tak, jakbym był ofiarą ataku" - mówi Billy Rios.

Luka została już załatana przez Google. W chwili obecnej wprowadzając kod HTML w arkuszu przeglądarka wyświetli go jako tekst, nie renderując go.