يفشل مكون `<NuxtLink>` في التحقق من صحة نظام عناوين URL للقيم المرتبطة بخصائص `to` أو `href` الخاصة به قبل عرضها في السمة `href` للعنصر `<a>` الأساسي. إذا ربط تطبيق ما مدخلات يسيطر عليها المهاجم بهذه الخصائص، فيمكن للمهاجم تقديم عنوان URL من نوع `javascript:` أو `vbscript:`. عند النقر عليه، يؤدي ذلك إلى تنفيذ البرنامج النصي في مصدر التطبيق، مما يؤدي إلى حدوث هجوم برمجة عبر المواقع (XSS) انعكاسي قائم على DOM، وهي ثغرة أمنية يتم فيها تنفيذ برنامج نصي في متصفح المستخدم بسبب فشل التطبيق في تنقية المدخلات. بالإضافة إلى ذلك، يمكن استخدام حمولة `data:text/html,...` لإنشاء سطح تصيد احتيالي في علامة التبويب نفسها. تؤثر هذه المشكلة أيضًا على التطبيقات التي تعيد ربط خصائص `href` و`route.href` من الفتحة المخصصة للمكون إلى نقاط الربط الخاصة بها.