Меджри отмечает, что для взлома iTunes и App Store пользователю достаточно сделать покупку в одном из магазинов Apple. При этом система при генерации инвойса обрабатывает ряд данных, касающихся устройства, с которого была сделана покупка. Таким образом, скрипт, содержащий вредоносный код, необходимо поместить в поле с названием устройства до совершения покупки. Отмечается, что инвойс предоставляется и покупателю, и продавцу; к слову, для того, чтобы скомпрометировать работу сервиса, покупателю достаточно взять то же имя, что и у продавца.
По мнению специалистов, обнаруженная уязвимость может применяться в ходе взлома пользовательских сессий, проведения фишинговых атак значительной длительности, а также для перенаправления пользователей на сторонние ресурсы, где могут быть установлены небезопасные, уязвимые или рекламные модули.
