توجد مشكلة في البرمجة النصية عبر المواقع المخزنة في كود عرض العلامات. تقوم عدة مسارات عرض من جانب العميل باستيفاء أسماء العلامات وأسماء المجموعات ومعرفات الكيانات وأسماء المجموعات وبيانات تعريف العلامات مباشرةً في HTML وسمات HTML ومعالجات أحداث JavaScript المضمنة وقيم أنماط CSS دون استخدام أحرف الهروب المناسبة للسياق. يمكن للمهاجم القادر على إنشاء أو التأثير على قيم العلامات أو البيانات الوصفية المخزنة حقن حمولة مصممة خصيصًا. وعندما يقوم الضحية بعرض صفحات BSimVis المتأثرة، يتم تنفيذ الحمولة برمجية JavaScript تعسفية في جلسته، مما قد يسمح للمهاجم بتنفيذ إجراءات بصفته الضحية، أو قراءة البيانات المتاحة، أو تغيير محتوى التطبيق.