В приложении Outlook для Android, которым пользуются более 100 000 000 человек, устранили опасный XSS-баг.
Уязвимость получила идентификатор CVE-2019-1105 и затрагивала Outlook для Android до версии 3.0.88. Проблема представляла собой так называемую stored XSS, то есть «хранимую» или «постоянную» XSS-уязвимость, и была связана с тем, как приложение парсит входящие письма.
Эксплуатируя данный баг, удаленный атакующий получал возможность осуществить спуфинг-атаку и выполнить вредоносный код на стороне клиента, в контексте текущего пользователя, попросту отправив своей жертве специально подготовленное электронное письмо.
Согласно официальному заявлению Microsoft, о данной уязвимости сообщили сразу несколько ИБ-специалистов, но пока технические детали проблемы или proof-of-concept эксплоиты еще не были опубликованы. Специалисты Microsoft уверяют, что уязвимость не использовалась злоумышленниками для атак.
