A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Atacantes podem recuperar uma chave de API derivada deterministicamente a partir da variável JavaScript `gptApiKey` no código-fonte HTML de qualquer página. Esta chave permite o envio de payloads de tradução maliciosos para o endpoint '/wp-json/gptranslate/v1/request', resultando na execução de scripts web arbitrários quando um usuário acessa uma página afetada.