توجد مشكلة حيث يمكن لمستخدم محلي مصرح له إرسال قيم `waypoint.name` و `waypoint.icon` مصممة خصيصاً. يتم إدراج هذه القيم في قالب innerHTML في web/src/lib/vendor/maplibre-elevation-profile/elevationprofile.ts دون ترميز HTML أو التحقق من صحة الأيقونة. يسمح هذا للضحية التي تعرض ملف تعريف الارتفاع بتنفيذ نص برمجى يتحكم فيه المهاجم في متصفحهم، مما قد يؤدي إلى كشف بيانات الجلسة أو تنفيذ إجراءات في سياق الضحية. بالإضافة إلى ذلك، يمكن لنقاط المسار الموحدة (federated waypoints) نقل هذه الحقول الخبيثة عبر المثيلات دون أن يتطلب ذلك وجود حساب محلي للمهاجم على المثيل المستلم.