تسمح وحدتا JSON:API وREST بتحميل ملفات الصور إلى حقول الصور. تتحقق قواعد التحقق من صحة الملف من امتداد الملف، لكنها لا تتحقق من نوع MIME (ملحقات البريد الإلكتروني متعددة الأغراض) للملف، وهو معيار يُستخدم لتحديد طبيعة المستند وتنسيقه. تسمح هذه الثغرة لمستخدم خبيث بتحميل ملفات غير صور. اعتمادًا على تكوين خادم الويب، قد يتم عرض هذه الملفات باستخدام نوع MIME الفعلي الخاص بها، مما قد يؤدي إلى حدوث «البرمجة النصية عبر المواقع» (XSS)، حيث يتم إدخال نصوص برمجية خبيثة في مواقع ويب موثوقة، أو حدوث سلوكيات أخرى غير متوقعة.