Manejadores de postMessage de origem cruzada permitem XSS armazenado e sequestro de sessão. O software registra ouvintes de mensagens de janela — especificamente o manipulador de sobreposição useTina, o manipulador de popup de autenticação OAuth e o redutor GraphQL do iframe admin↔preview — que processam `event.data` sem verificar `event.origin` ou `event.source`. Além disso, envia mensagens usando origens de destino não específicas. Uma página maliciosa visitada por uma vítima, ou uma janela em relação de opener/iframe com um administrador do Tina, pode forjar mensagens para controlar o editor, injetar conteúdo de visualização ou manipular o canal de popup OAuth para sequestrar uma sessão de edição autenticada.