我在 iOS Outlook 移动应用程序中发现了 XSS。Microsoft Outlook for iOS 中存在一个严重漏洞，可能允许攻击者控制受害者的设备。该安全问题可能使恶意行为者能够使用电子邮件客户端在任何 iOS 智能手机或平板电脑上执行跨站脚本（XSS）攻击。这是由于软件解析特制电子邮件消息的方式所致。
通过使用 JavaScript 载荷，可以修改应用程序上的内容。
Microsoft Outlook iOS 软件解析特制电子邮件消息的方式中存在一个欺骗漏洞。经过身份验证的攻击者可以通过向受害者发送特制的电子邮件消息来利用此漏洞。
成功利用此漏洞的攻击者随后可以对受影响的系统执行跨站脚本攻击，并在当前用户的安全上下文中运行脚本。
安全更新通过更正 Outlook for iOS 解析特制电子邮件消息的方式来解决此漏洞。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1218
