Um problema de Cross-Site Scripting (XSS) existe na dependência de emulação de DOM `domino` do `@angular/platform-server` durante a serialização de elementos de texto bruto, como `<script>`, `<style>` e `<iframe>`. O problema decorre de um erro de alinhamento de índice Unicode na lógica de escape. Como o JavaScript calcula comprimentos de string e índices usando unidades de código UTF-16, caracteres astrais (como emojis) ocupam duas unidades de código. Quando o texto dinâmico contém esses caracteres antes de uma tag de fechamento, o cálculo do deslocamento do índice é alterado, fazendo com que o `domino` não consiga escapar a tag de fechamento. Um invasor pode fornecer um payload contendo um caractere Unicode astral e uma tag de fechamento para sair do contexto de texto bruto e executar um bloco `<script>` subsequente durante a Renderização do Lado do Servidor (SSR), resultando em XSS de mesma origem.