Existe um problema onde um usuário local autenticado pode enviar valores manipulados de `waypoint.name` e `waypoint.icon`. Esses valores são interpolados em um template innerHTML em web/src/lib/vendor/maplibre-elevation-profile/elevationprofile.ts sem codificação HTML ou validação de ícone. Isso permite que uma vítima que visualize o perfil de elevação execute um script controlado pelo invasor em seu navegador, o que pode expor dados de sessão ou realizar ações no contexto da vítima. Além disso, waypoints federados podem entregar esses campos maliciosos entre instâncias, eliminando a necessidade de o invasor ter uma conta local na instância receptora.