9/08/2012 з'явилася можливість прив'язки номера телефону до уіну на сторінці icq.com/attach-phone. Днем пізніше на icq.com була знайдена XSS уразливість, причому активна. Вразливим виявилося поле "Phone" на сторінці http://www.icq.com/people/UIN . Примітно те, що на той момент вже було неможливо вписати номер телефону прямо на сторінці редагування профілю за адресою http://www.icq.com/people/UIN/edit , Тому довелося скористатися клієнтом ICQ 7M. Через нього в уразливе поле прописувався скрипт "> alert () script>, & # тисячі сімдесят чотири; & # 1099; & # тисячі сімдесят чотири; & # 1086; & # 1076; & # +1103; & # тисячі дев'яносто сім; & # 1080; & # тисяча вісімдесят одна ; & # 1 072; & # тисячу вісімдесят-три; & # 1077; & # +1088; & # 1090 ;. & # 1055; & # +1088; & # 1080; & # тисячу вісімдесят дві; & # 1 072; & # 1078; & # тисяча сімдесят шість; & # 1 086; & # 1084; & # 1087; & # 1077; & # 1088; & # 1077; & # 1093; & # 1 086; & # 1076; & # 1077; & # 1085; & # 1072; & # +1089; & # 1074; & # 1086; & # 1081; & # 1087; & # 1088; & # 1086; & # тисячу дев'яносто два; & # тисячі сімдесят дві; & # 1081; & # 1083; & # 1086; & # 1085; & # тисячу дев'яносто-одна; & # 1089; & # 1087; & # 1077; & # 1096; & # 1085; & # тисяча вісімдесят шість; & # 1074; & # тисячі дев'яносто дев'ять; & # 1074; & # тисяча вісімдесят шість; & # тисяча сімдесят шість; & # 1080; & # +1083; & # 1089; & # 1 103 ;, & # 1095; & # 1090; & # 1086; & # 1087; & # 1086; & # 1076; & # 1090; & # тисяча сімдесят чотири; & # 1077 ; & # 1088; & # 1078; & # тисяча сімдесят шість; & # +1072; & # 1083; & # 1 086; & # 1085; & # +1072; & # 1083; & # 1080; & # +1095; & # 1080; & # 1077; & # тисячу дев'яносто один; & # 1103; & # 1079; & # тисячі сімдесят чотири; & # 1080; & # 1084; & # тисяча вісімдесят шість; & # 1089; & # 1 090; & # 1080 ;. & # 1044; & # тисяча сімдесят дві; & # тисяча вісімдесят три; & # 1100; & # тисячу вісімдесят п'ять; & # 1077; & # 1081; & # +1096; & # тисячі сімдесят дві; & # 1103; & # 1087; & # 1088; & # 1 086; & # 1074; & # 1077; & # 1088; & # 1082; & # 1 072; & # 1085; & # 1 072; & # +1092; & # 1080; & # 1083; & # 1100; & # 1090; & # 1088; & # 1072; & # 1094; & # 1080; & # 1 102; & # 108 7; & # 1086; & # +1082; & # 1072; & # 1079; & # 1072; & # 1083; & # 1072 ;, & # 1095; & # 1090; & # 1086; & # 1074; & # 1074; & # 1 086; & # 1076; & # 1080; & # 1084; & # 1099; & # 1077; & # +1089; & # 1080; & # 1084; & # 1 074; & # тисячі вісімдесят шість; & # +1083; & # 1099; & # Тисяча вісімдесят п'ять; & # 1077; & # +1092; & # 1080; & # тисячу вісімдесят три; & # 1100; & # 1090; & # 1088; & # тисяча дев'яносто-один; & # +1102; & # 1090; & # +1089; & # 1103; & # 1074; & # 1086; & # 1074; & # 1089; & # 1077 ;.

Наступним етапом була перевірка на те, чи дає знайдена XSS cookies. Введений скрипт <script> alert (document.cookie) </ script> успішно виводив Алерт з cookies при переході на профайл. Потрібно зауважити, що дана XSS відмінно функціонувала в усіх браузерах.

Проте, один факт все ж виявився вельми затьмарює: номер телефону, вказаний в профайлі, не був видний іншим користувачам. Для того, щоб зробити його доступним оці сторонніх, потрібно взаємне додавання. З цього випливало, що розкрадання cookies іншого користувача було можливим, але вельми проблемним заходом.

XSS уразливість була протестована на піддослідному ICQ 10007 n3tw0rk'а, чиї cookies були успішно вкрадені товаришем Hydra через встановлений сниффер. Однак крадіжка cookies не дозволяє отримати повний контроль над ICQ номером - можливо лише залогінитися в нього на icq.com і змінити деталі.

Сьогодні вранці було помічено, що знайдена 10/08/2012 вразливість більше не функціонує, але не дивлячись на це описана вище інформація є непоганий грунтом для роздумів на тему того, як розробники ICQ піклуються про безпеку своїх користувачів.

Обговорення на форумі.