Несколько месяцев назад Verizon Messages затронула уязвимость, которой было легко воспользоваться для запуска XSS-атак при помощи SMS-сообщений. Verizon Messages (Message+) представляет собой службу обмена текстовыми и мультимедийными сообщениями, которая позволяет пользователям беспрерывно отправлять и получать сообщения на нескольких типах устройств, включая мобильные и десктопные.
Исследователь Рэнди Вестергрен (Randy Westergren) функцию SMS-сообщения в этом приложении, отправив несколько URL-адресов тестовой учетной записи. Эксперт обратил внимание на то, что добавление одиночных кавычек к URL-адресу позволяет вырваться за атрибут HREF и выполнить произвольный JavaScript-код.
По словам Вестергрена, злоумышленнику всего лишь надо отправить специально созданное SMS-сообщение пользователю, что позволит полностью контролировать сессию жертвы. В случае, если пользователь нажмет на вредоносное сообщение, хакер сможет отправлять SMS-сообщения от его имени или перехватывать сообщения.
В ноябре 2016 года исследователь отправил всю необходимую информацию, касающуюся уязвимости, Verizon, компания в течение нескольких недель устранила ее. Однако детали этой бреши были обнародованы лишь в воскресенье.
Verizon исправила эту уязвимость с помощью DOM API, как и было предложено экспертом.
