Ocorre cross-site scripting armazenado devido à sanitização de entrada e escape de saída insuficientes. Usuários autenticados com nível de acesso de Colaborador ou superior podem injetar scripts web arbitrários através do atributo `base-url` dos shortcodes `[mpg]` e `[mpg match]`. Atacantes podem usar payloads codificados em entidades que ignoram o kses (uma função do WordPress usada para sanitizar HTML), mas que são posteriormente decodificados por `html entity decode()` e renderizados sem escape através de `{{mpg url}}`, resultando na execução de scripts nos navegadores de administradores.