البرنامج معرض لخطر «التنفيذ البرمجي عبر المواقع» (XSS) من خلال الدالة `spin()`. وهذا يتيح للمهاجم إنشاء تنبيهات متعددة لكل عنصر «هدف». يتطلب استغلال هذه الثغرة «تلوث النموذج الأولي» (prototype pollution)، والذي يتم تحقيقه عن طريق تعيين زوج مفتاح-قيمة عشوائي على `Object.prototype` عبر عنوان URL مُعد خصيصًا، مما يتيح تنفيذ تعليمات جافا سكريبت عشوائية في سياق متصفح المستخدم.