نقطة نهاية تحميل الوحدة النمطية ’POST /openmrs/ws/rest/v1/module‘ معرضة لهجوم ”Zip Slip“ لاجتياز المسار. يحدث هذا أثناء الاستخراج التلقائي لأرشيفات .omod التي تم تحميلها ضمن دالة `startModule()` في `WebModuleUtil`. يقوم النظام فقط بالتحقق مما إذا كان مسار الإدخال الكامل يبدأ بـ `..`، دون أن يقوم بتوحيد المسار أو إجراء فحوصات الحدود على الإدخالات التي تبدأ بـ `web/module/`. ونتيجة لذلك، يمكن لأرشيف مصمم خصيصًا يحتوي على إدخالات مثل `web/module/../../../../malicious.jsp` أن يؤدي إلى كتابة الملفات خارج دليل الوحدة النمطية المقصود.
يمكن للمهاجم المصادق عليه الذي يمتلك أذونات تحميل الوحدات النمطية كتابة ملفات عشوائية في مواقع مثل جذر تطبيق الويب. ومن خلال تحميل ملف JSP وطلبه، يمكن للمهاجم تنفيذ التعليمات البرمجية عن بُعد. بالإضافة إلى ذلك، لا يتم تطبيق خاصية وقت التشغيل `module.allow web admin`، التي تهدف إلى تقييد إدارة الوحدات النمطية عبر الويب، في مسار التحميل الخاص بواجهة برمجة التطبيقات REST، مما يسمح بتجاوز هذا التقييد.