Een nieuw beveiligingslek in Internet Explorer 5 en 6 geeft hackers de toegang tot de FTP accounts van internetgebruikers. Het lek laat een aanvaller meeliften op een eerdere FTP sessie die de gebruiker gestart heeft. Dankzij de gecachte logingegevens kan die bestanden uploaden naar het account van de gebruiker of daar juist bestanden verwijderen of verplaatsen. In theorie is het zelfs mogelijk dat een aanvaller op deze manier vertrouwelijke gegevens kan stelen en uploaden naar zijn eigen server. Als er geen eerdere geauthenticeerde FTP sessie is gestart, probeert IE een anonieme login.

De kwetsbaarheid is te misbruiken door een slachtoffer naar een kwaadaardige pagina te lokken, waar via een iFrame de FTP code is uit te voeren. Microsoft weet sinds 22 januari van het lek en kreeg van de beveiligingsonderzoeker die het ontdekte een maand de tijd om met een oplossing te komen. Aangezien de softwaregigant dat niet lukte, zijn nu alle details inclusief exploit bekendgemaakt. Microsoft liet wel weten dat het de kwetsbaarheid mogelijk in april wil dichten. Tot die tijd doen gebruikers er verstandig aan om te upgrade naar Internet Explorer 7, die niet kwetsbaar is.