注意したほうがいいというレベルではありません。
重大なXSS脆弱性です。

たとえば、これが投稿できてしまいます。
#HTML{{
<script>
alert(document.cookie);
</script>
}}

ログインした状態で閲覧すればわかりますが 'QHMSSID5' （管理者を識別するためのCookie）が含まれています。
alertで表示するだけなら実害はありませんが、実際はいくらでも悪用可能です。
QHMSSID5の情報を盗んでしまえば、管理者になりすましてログインできます。
（掲示板に攻撃JavaScriptを貼る→管理者がログインしたまま掲示板に来るのを待つ→罠に掛かったら管理者になりすましてコンテンツ書き換え放題）

はっきり言って呆れるような脆弱性です。
セッションハイジャック可能なまま4年も放置されているCMSは初めて見ました。