تؤدي عمليات التحقق غير الكافية من الصلاحيات في آلية تحديث حقل الدور، بالإضافة إلى الصلاحيات المفرطة الممنوحة لنوع المنشور `admin form`، إلى إمكانية تصعيد الامتيازات. يستخدم نوع المنشور المخصص `admin form` قيمة `capability type` مضبوطة على `page`، مما يمكّن المحررين من إنشاء النماذج وتحريرها. ومن خلال إرسال بيانات POST إلى نقطة النهاية ’wp-admin/post.php‘، يمكن للمحرر تجاوز قيود واجهة المستخدم في الدالة `feadmin get user roles()` لإدراج ”administrator“ في المصفوفة `role options` الخاصة بنموذج `edit user`. تتحقق الدالة `pre update value()` في ملف `class-role.php` من وجود الدور المرسَل في المصفوفة `role options`، لكنها لا تتحقق مما إذا كان المستخدم يمتلك الإذن لتعيين هذا الدور. وهذا يسمح للمهاجمين غير المصادق عليهم بالتسجيل كمحررين عبر نموذج `new user` العام، وإنشاء نموذج `edit user` بأدوار المسؤول، وتصعيد امتيازاتهم إلى مستوى المسؤول.