يؤدي عدم كفاية عملية تطهير المدخلات وتهريب المخرجات إلى السماح للمهاجمين غير المصادق عليهم بتنفيذ هجمات «Stored Cross-Site Scripting». يمكن للمهاجمين استرداد مفتاح واجهة برمجة التطبيقات (API) المستمد بشكل حتمي من متغير JavaScript `gptApiKey` في مصدر HTML لأي صفحة. يسمح هذا المفتاح بإرسال حمولات ترجمة ضارة إلى نقطة النهاية ’/wp-json/gptranslate/v1/request‘، مما يؤدي إلى تنفيذ نصوص برمجية ويب تعسفية عندما يصل المستخدم إلى صفحة متأثرة.