يسمح عدم كفاية تنقية المدخلات ومعالجة المخرجات للمهاجمين المصرح لهم الذين لديهم صلاحيات بمستوى مساهم (Contributor) أو أعلى بتنفيذ هجوم Stored Cross-Site Scripting. يتم ذلك عن طريق حقن برمجيات ويب عشوائية من خلال سمة `icon light` الخاصة بـ shortcode، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المصابة.