توجد ثغرة cross-site scripting منعكسة في نقطة النهاية '/dbml/svg'. يمكن للمهاجمين غير المصرح لهم حقن روابط `javascript:` من خلال تقديم قيم مصممة خصيصاً لإعدادات `url` أو `headercolor` أو لون `TableGroup` في جدول DBML. يسمح هذا بتنفيذ JavaScript تعسفي في أصل Kroki عندما يقوم الضحية بفتح رابط SVG مصمم خصيصاً والنقر فوق رأس الجدول.