تسمح ثغرة أمنية من نوع Cross-Site Scripting (XSS) للمهاجم بتنفيذ جافا سكريبت تعسفي في سياق جلسة عمل مستخدم آخر. ويحدث ذلك لأن المدخلات التي يقدمها المستخدم تُعكس مرة أخرى في استجابة الخادم دون تعقيم أو هروب مناسبين، مما قد يتيح القيام بأعمال خبيثة مثل اختطاف الجلسة، أو سرقة بيانات الاعتماد، أو القيام بأعمال غير مصرح بها في التطبيق. تكمن الثغرة الأمنية في حقل الإدخال «Tags» في نقطة النهاية `/s/ajax?action=lead:addLeadTags`. على الرغم من أن الخادم يقوم بالتنقية قبل تخزين البيانات أو إرجاعها لاحقًا، إلا أن الحمولة يتم تنفيذها فورًا في متصفح الضحية عند انعكاسها، مما يسمح للمهاجم بتنفيذ جافا سكريبت تعسفي في جلسة عمل المستخدم. قد يكون لهجوم XSS المنعكس تأثير كبير، حيث يتيح للمهاجمين سرقة البيانات الحساسة للمستخدم، مثل ملفات تعريف الارتباط، وإعادة توجيه المستخدمين إلى مواقع ويب ضارة، والتلاعب بمحتوى صفحة الويب.