Atacantes autenticados com nível de acesso de assinante ou superior podem executar shortcodes arbitrários. Isso ocorre porque o software não valida adequadamente os valores antes de executar a função `do shortcode()`. O problema persiste apesar de mitigações parciais usando `strip shortcodes()` em `[profile-first-name]` e `[profile-last-name]`, pois estas podem ser ignoradas através do caminho de renderização `[profile-display-name format="first last names"]`, do caminho de renderização `[profile-bio]` ou da sequência de escape de colchetes duplos `[[tag]]`.