Um usuário autenticado pode armazenar um valor `waypoint.icon` manipulado. A função `createMarkerFromWaypoint()` passa esse valor para o `FontawesomeMarker`, onde o `insertAdjacentHTML` insere o dado não validado na marcação do marcador do mapa. Ao abrir o mapa da trilha afetado, um script controlado por um invasor é executado no navegador do visualizador, podendo expor tokens de sessão ou realizar ações em nome da vítima. Este problema também pode ser desencadeado por dados de pontos de referência federados sem a necessidade de uma conta local na instância receptora.