یک پژوهش‌گر در ازای کشف یک آسیب‌پذیری XSS در ويژگی ایمیل پویا که چند ماه قبل به جی‌میل اضافه شد، از گوگل ۵ هزار دلار پاداش گرفت. این ویژگی ایمیل پویا که با عنوان Accelerated Mobile Pages برای ایمیل یا AMP4Email شناخته می‌شود، امکان استفاده از محتوای HTML پویا در ایمیل‌ها را فراهم می‌کند و به کاربران اجازه می‌دهد تا کارهای مختلفی را به‌طور مستقیم از طریق یک ایمیل انجام دهد، به‌عنوان مثال به یک نظر در Google Docs پاسخ دهند، پرسش‌نامه پر کنند، به دعوت به یک رویداد پاسخ دهند و یک کاتالوگ را نمایش دهند. گوگل این ویژگی را در ماه جولای در دسترس عموم قرار داد.
میشل بِنتکواسکی، پژوهش‌گر امنیتی ارشد Securitum، AMP4Email را تجزیه و تحلیل کرد و متوجه شد که می‌توان از آن برای حملات XSS بهره‌برداری کرد. بااین‌که AMP4Email شامل راه‌کارهای محافظتی برای این نوع حملات است، این پژوهش‌گر بااستفاده از یک ویژگی به نام DOM Clobbering راهی برای دور زدن این محافظت‌ها یافت. DOM Clobbering یک ویژگی قدیمی در مرورگرهای وب است که امکان انجام حملات XSS را فراهم می‌کند.
این پژوهش‌گر نشان داد که چگونه یک مهاجم می‌تواند با استفاده از DOM Clobbering، کد مخرب را از طریق AMP4Email به یک ایمیل اضافه کند و هنگام باز شدن پیام، در سمت قربانی اجرا شود. بااین‌حال، بهره‌برداری از این آسیب‌پذیری خطر جدی ایجاد نمی‌کند، زیرا بِنتکواسکی نتواست سیاست امنیت محتوا در AMP را که برای جلوگیری از حملات XSS طراحی شده است، دور بزند.
علاوه‌برآن، این کارشناس بیان کرد که کد مخرب مهاجم به جای اجرا در دامنه‌ی جی‌میل در یک دامنه‌ی AMP جعبه‌ی شنی اجرا خواهد شد. بااین‌وجود، گوگل این آسیب‌پذیری را خطرناک توصیف کرد و به این پژوهش‌گر ۵ هزار دلار پاداش داد که مبلغ استانداردی برای آسیب‌پذیری‌های XSS است. گوگل هنوز هم درباره‌ی این آسیب‌پذیری نگران است، زیرا نمی‌خواهد ایمیل‌ها را به‌منظور اجرای کد جاوااسکریپت دلخواه باز کند. این آسیب‌پذیری در ۱۵ آگوست به گوگل گزارش شد و در ۱۲ اکتبر وصله شد.
