تحدث ثغرة «التنفيذ البرمجي عبر المواقع المنعكس» (XSS) عندما تفشل الوحدة النمطية في تنقية رسائل استجابة واجهة برمجة التطبيقات (API) بشكل كافٍ قبل عرضها في مخرجات HTML. وعلى وجه التحديد، تقوم الدالتان ` cleantalk die()` و`ct die()` بإخراج رسالة استجابة واجهة برمجة التطبيقات (API) الخاصة بـ CleanTalk مباشرةً إلى HTML، مما يسمح بحقن كود HTML أو JavaScript تعسفي. ويتطلب استغلال هذه الثغرة أن يتمكن المهاجم من التأثير على استجابة واجهة برمجة التطبيقات (API) السحابية لـ CleanTalk، مثلًا من خلال هجوم «الرجل في الوسط» (man-in-the-middle) أو خادم واجهة برمجة التطبيقات (API) تم اختراقه.