نسخه‌های 2.014 تا قبل از 3.022 از WebDyne (نسخه Perl) دارای یک آسیب‌پذیری Cross-Site Scripting (XSS) هستند. این نقص امنیتی به دلیل بازتاب (reflect) پارامترهای درخواست بدون خنثی‌سازی (unescaped) در مقادیر فیلدهای فرم رخ می‌دهد.
در این نسخه‌ها، تگ‌های textfield، password_field و filefield مقادیر خود را مستقیماً از پارامترهای درخواست با همان نام دریافت می‌کنند. متغیر WEBDYNE_CGI_AUTOESCAPE که وظیفه کنترل خنثی‌سازی (escaping) این مقادیر را بر عهده دارد، به‌صورت پیش‌فرض غیرفعال (off) است.
نکته حائز اهمیت این است که از نسخه 2.022 به بعد، متد entity_encode در ماژول WebDyne::HTML::Tiny تغییر یافته و ورودی را بدون هیچ تغییری برمی‌گرداند؛ این امر باعث می‌شود حتی در صورت فعال‌سازی WEBDYNE_CGI_AUTOESCAPE نیز هیچ تأثیری در امنیت نداشته باشد. یک مهاجم از راه دور می‌تواند با استفاده از یک لینک دستکاری‌شده (crafted link)، اسکریپت‌های مخرب را به هر صفحه‌ای که از این تگ‌ها استفاده می‌کند، تزریق کند.
