Не забывайте про XSS+RCE, скармливаете авторизованному админу и если расшарены права на редактирование шаблона, будет вам шел!