توجد ثغرة cross-site scripting مخزنة في المساعد `service label` الذي يصنف أسماء عرض خدمة OAuth غير المفلترة بشكل خاطئ على أنها `html safe`. يمكن للمهاجمين المصرح لهم ربط حساب OAuth باستخدام اسم مستعار أو اسم أو بريد إلكتروني مصمم خصيصاً ومشاركته عالمياً. يؤدي ذلك إلى تنفيذ JavaScript عندما يقوم الضحايا بربط الحساب بالوكلاء (Agents) وعرضهم. تشمل التأثيرات المحتملة الكشف عن بيانات الاعتماد والوكلاء والأحداث، وتنفيذ إجراءات إدارية إذا كان الضحية مسؤولاً.