spin.jsのバージョン3.0.0以前には、spin()関数を介したクロスサイトスクリプティング（XSS）の脆弱性が存在します。この関数は各'target'要素に対して複数のアラートを作成することを可能にします。攻撃者はまず、細工されたURLを利用してObject.prototypeに任意のキーと値のペアを設定するプロトタイプ汚染を達成する必要があり、その後ユーザーのブラウザのコンテキストで任意のJavaScriptを実行することが可能になります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。