Foi encontrada uma redirecionamento aberto no aplicativo ICMS2 ao ser redirecionado após a modificação do próprio perfil de usuário. Um invasor poderia induzir uma vítima a visitar seu aplicativo web, fazendo-a acreditar que ainda está no aplicativo ICMS2. Ele poderia então hospedar um site com a mensagem “Para atualizar seu perfil, digite sua senha”, e o usuário poderia digitar sua senha e enviá-la ao invasor.