Necesito proporcionar evidencia de que CSRF o XSS es posible en un teléfono ... usando PhoneGap, una vista web o específicamente una "pestaña de Chrome" o equivalente de iOS.
Creo que, en teoría, esto es posible, y se necesita mitigación, pero en busca de ejemplos de explotaciones previas que no se hayan realizado en un "navegador"
Un ataque CSRF solo puede ocurrir cuando el cliente proporciona automáticamente las cookies (u otros mecanismos de autenticación). Es decir, donde el cliente tiene acceso a cookies de múltiples dominios (como un navegador web que almacena cookies para cada sitio que visita).
Sin embargo, una aplicación móvil que contiene un visor web normalmente solo tendrá las cookies para su propio sistema. Las cookies no se compartirán con otras aplicaciones utilizando el mismo control de visor web. Cualquier cosa que se cargue desde el sistema de archivo también se aislará entre sí: Android e iOS tienen controles de seguridad para que las aplicaciones no puedan leer los datos de otras aplicaciones. Por lo tanto, no es probable que CSRF esté dentro de una aplicación móvil.
XSS podría seguir siendo un problema, ya que cualquier cosa que se muestre en una página web mostrada por una aplicación donde JavaScript esté habilitado podría causar la ejecución del código JavaScript si existe una falla, como en un navegador web.
XSS suele ser un ataque contra un servidor. A menos que su teléfono esté sirviendo páginas web para conexiones externas, esto no debería ser un problema. Si su servidor que sirve las páginas al teléfono es vulnerable, XSS es idéntico a un sitio web normal, con la excepción de que puede ser más difícil engañar a alguien para que siga un enlace. A menos que su aplicación tome datos de otras fuentes no confiables (un archivo, una entrada del usuario, mensajes de dominio cruzado) y la muestre sin escapar, consulte a continuación.
CSRF se basa en recoger una sesión válida, por lo que dependería de la zona de pruebas que implementa el componente del navegador. Me sorprendería mucho si esto fuera posible a menos que haya implementado pobremente las llamadas jsonp o window.postMessage o algo similar. (vea: enlace para obtener más ideas sobre esto)
Lea otras preguntas en las etiquetas xss android mobile csrf threat-mitigation