A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de Colaborador ou superior realizem Stored Cross-Site Scripting. Isso é feito injetando scripts web arbitrários através do atributo `icon light` de um shortcode, que são executados quando um usuário visita a página afetada.