توجد ثغرة تسمح بتنفيذ التعليمات البرمجية عن بُعد بعد المصادقة، حيث يمكن للمستخدمين الذين يمتلكون أذونات إدارة `custom fields` تنفيذ تعليمات برمجية تعسفية بلغة Ruby. ويحدث ذلك عند إدخال تعبير ضار عبر نوع الحقل المخصص `select eval`. يمكن للمهاجم تخزين تعبير Ruby خاضع للسيطرة في المعلمة `command` ضمن خيارات الحقل، والذي يتم تقييمه بعد ذلك عبر الدالة `instance eval()` داخل عرض ERB أثناء عرض صفحة تعديل المنشور. وهذا يسمح بتنفيذ التعليمات البرمجية من جانب الخادم بامتيازات عملية خادم الويب.