يقبل نقطة النهاية POST '/ nuxt content/:collection/query' غير المصادق عليها حقل `sql` يتحكم فيه المهاجم في 'src/runtime/api/query.post.ts' ويسمح بتعبيرات SQLite مكلفة. بينما تستخدم بعض الإصدارات دالة `assertSafeQuery()` في 'src/runtime/internal/security.ts' لرفض كلمات مفتاحية معينة من SQL في جمل WHERE، إلا أنها لا تزال تسمح باستدعاءات الدوال مثل `randomblob()` و `zeroblob()` و `hex()` و `length()`. تصل هذه الاستعلامات إلى better-sqlite3 السنكرو ني في 'src/runtime/internal/database.server.ts'، مما يسمح لطلب عن بعد واحد باستهلاك قدر كبير من وحدة المعالجة المركزية والذاكرة، مما يؤدي إلى حظر حلقة أحداث Node.js ومعالجة جميع الطلبات المتزامنة. لا تتأثر عمليات النشر الاستاتيكية بالكامل التي لا تعرض نقطة نهاية الخادم.