Busca:

Peguei o código que é muito simples por sinal e testei no Chrome que redireciona para abrir conteúdo dentro de outro app.
E o Chrome simplesmente:

Solicitação de protocolo externo

O Google...

O código é muito simples e é apenas um redirecionamento e aí que está o perigo da coisa, pois um simples javascript pode fazer um gracinha ou um estrago bem grande.
Isso não pode acontecer.
A Apple...

E nem precisa instalar nada...
Enfim, Android,iOS ou se fosse relevante, WP, tudo é passível (ou muito ativo) de ser invadido.

Mas, claro que quanto mais relevante, mas vulnerabilidades serão...