توجد مشكلة في البرمجة النصية عبر المواقع (XSS) في التبعية لمحاكاة DOM `domino` الخاصة بـ `@angular/platform-server` أثناء تسلسل عناصر النص الخام مثل `<script>` و`<style>` و`<iframe>`. تنبع المشكلة من خطأ في محاذاة فهرس Unicode في منطق التهرب. نظرًا لأن JavaScript يحسب أطوال السلاسل والفهارس باستخدام وحدات الترميز UTF-16، فإن الأحرف الفلكية (مثل الرموز التعبيرية) تشغل وحدتين من الترميز. وعندما يحتوي النص الديناميكي على هذه الأحرف قبل علامة الإغلاق، يتغير حساب إزاحة الفهرس، مما يتسبب في فشل `domino` في التهرب من علامة الإغلاق. يمكن للمهاجم تزويد حمولة تحتوي على حرف Unicode فلكي وعلامة إغلاق للخروج من سياق النص الخام وتنفيذ كتلة `<script>` لاحقة أثناء العرض من جانب الخادم (SSR)، مما يؤدي إلى ثغرة XSS من نفس المنشأ.