يحدث ثغرة cross-site scripting مخزنة بسبب عدم كفاية تعقيم المدخلات ومعالجة المخرجات. يمكن للمستخدمين المصرح لهم بصلاحيات مساهم (Contributor) أو أعلى حقن نصوص برمجية ويب تعسفية عبر سمة `base-url` في الأكواد القصيرة `[mpg]` و `[mpg match]`. يمكن للمهاجمين استخدام حمولات مشفرة تتجاوز kses (وظيفة في WordPress تُستخدم لتعقيم HTML) ولكن يتم فك تشفيرها لاحقاً بواسطة `html entity decode()` ويتم عرضها دون معالجة من خلال `{{mpg url}}` مما يؤدي إلى تنفيذ النصوص البرمجية في متصفحات المسؤولين.