Um problema de cross-site scripting existe no phoenix live view devido à validação inadequada do esquema de URL. As funções `valid destination!/2` e `valid live navigation destination!/2` utilizam um auxiliar interno `uri scheme/1` que não detecta esquemas se a entrada começar com um espaço ou um caractere de controle ASCII. Como os navegadores padrão removem esses caracteres iniciais antes da análise, um invasor pode fornecer um payload como " javascript:alert(1)" que ignora a validação e é tratado como um caminho relativo seguro. Quando renderizado via `<.link href={...}>`, o navegador executa o script na sessão da vítima. Isso afeta aplicações que renderizam URLs fornecidas pelo usuário, como alvos de redirecionamento ou links de perfil.