يمكن للمستخدم المصرح له تخزين قيمة `waypoint.icon` مصممة خصيصاً. تقوم الدالة `createMarkerFromWaypoint()` بتمرير هذه القيمة إلى `FontawesomeMarker` حيث يقوم `insertAdjacentHTML` بإدراج القيمة غير المตรวจสอบة في علامات تحديد موقع الخريطة. عند فتح خريطة المسار المتأثرة، يتم تنفيذ نص برمجى يتحكم فيه المهاجم في متصفح المشاهد، مما قد يؤدي إلى كشف رموز الجلسة أو القيام بإجراءات نيابة عن الضحية. يمكن أن تصل بيانات نقاط المسار الموحدة (federated waypoint data) إلى نقطة التنفيذ هذه دون الحاجة إلى حساب محلي في النسخة المستقبلة.