Um usuário clínico autenticado pode injetar marcações de manipuladores de eventos ao armazenar valores que contenham aspas duplas. Isso ocorre porque a função `text()` utiliza ENT NOQUOTES ao renderizar valores armazenados de `transfer to`, `code` e `codetext` dentro de atributos de valor HTML delimitados por aspas duplas nos endpoints 'interface/forms/transfer summary/new.php' e 'interface/forms/functional cognitive status/new.php'. A exploração bem-sucedida pode expor dados de sessão e informações de saúde protegidas ou permitir ações não autorizadas em registros de pacientes na sessão da vítima.