Выполнение произвольного кода сценария в plain text сообщении в Microsoft Outlook Express

Удаленный пользователь может внедрить HTML с кодом сценария в plain text e-mail сообщение и послать сообщение Microsoft Outlook Express (OE) пользователю, чтобы OE обработал и выполнил код сценария (если выполнение сценариев разрешено на OE клиенте целевого пользователя), даже если сообщение послано в plain text формате.

Подобная уязвимость была обнаружена в сентябре 2001 года (Alert ID 1002413; CVE CAN-2001-0999) и бы по сообщением была устранена через некоторое время. Пример:

MIME-Version: 1.0
Content-Type: text/plain;
Content-Transfer-Encoding: 7bit
X-Source: 25.07.03 http://www.malware.com

<img dynsrc=javascript:alert()><font color=red>foo

Способов устранения обнаруженной уязвимости не существует в настоящее время.