Um usuário com permissões para editar a assinatura de uma caixa de correio pode burlar a função `Helper::stripDangerousTags()` combinando fragmentos de tags aninhadas com um arquivo scriptável enviado através do endpoint '/uploads/upload'. Como o script externo resultante é servido a partir da mesma origem, ele ignora a Política de Segurança de Conteúdo (CSP) `script-src 'self'` quando outro usuário acessa a página de novo ticket ou o editor de resposta da caixa de correio. Isso permite que o script seja executado com os privilégios da vítima, possibilitando a leitura de dados visíveis e a realização de ações de mesma origem.