يمكن لمستخدم سريري مصرح له حقن علامات معالجة الأحداث (event-handler markup) عن طريق تخزين قيم تحتوي على علامات اقتباس مزدوجة. يحدث هذا لأن الدالة `text()` تستخدم ENT NOQUOTES عند عرض قيم `transfer to` و `code` و `codetext` المخزنة داخل سمات قيم HTML ذات اقتباس مزدوج في نقاط النهاية 'interface/forms/transfer summary/new.php' و 'interface/forms/functional cognitive status/new.php'. يمكن أن يؤدي الاستغلال الناجح إلى كشف بيانات الجلسة والمعلومات الصحية المحمية أو السماح بإجراء عمليات على سجلات المرضى ضمن جلسة الضحية.