يمكن للمستخدمين المصرح لهم الذين لديهم صلاحيات `write:admin` تنفيذ هجوم cross-site scripting مخزن عن طريق تحميل ملفات HTML أو SVG تحتوي على JavaScript من خلال نقطة نهاية تحميل ملف تكوين Manager. يمكن للمهاجم بعد ذلك استدراج الضحايا إلى نقطة نهاية استرداد الصور غير المصرح بها، والتي تقدم هذه الملفات بتنسيق `text/html` أو `image/svg+xml` مما يؤدي إلى تنفيذ النصوص البرمجية ضمن أصل التطبيق.