A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored DOM-Based Cross-Site Scripting. Isso ocorre por meio do parâmetro `jsticket message`. O problema é acionado quando um administrador ou agente abre um ticket e a página inicializa o VenoBox, que lê o atributo data-title decodificado pelo navegador e o passa para a função `.html()` do jQuery, executando scripts web arbitrários.