O software é suscetível a Cross-Site Scripting Armazenado (Stored XSS) através do upload de arquivos SVG. A sanitização de entrada e o escape de saída insuficientes nos arquivos `data-to-image.php` e `pdf-to-image.php` permitem que atacantes não autenticados injetem scripts web arbitrários. Esses scripts são executados quando um usuário acessa o arquivo SVG.