Um problema de cross-site scripting armazenado existe no helper `service label`, que marca incorretamente nomes de exibição de serviço OAuth não escapados como `html safe`. Atacantes autenticados podem conectar uma conta OAuth usando um apelido, nome ou e-mail manipulado e compartilhá-lo globalmente. Isso permite a execução de JavaScript quando as vítimas anexam a conta a Agentes e os visualizam. Os impactos potenciais incluem a exposição de Credenciais, Agentes e Eventos, bem como a execução de ações administrativas se a vítima possuir privilégios de administrador.