تحتوي ميزة تحميل القوالب على ثغرة تتعلق باجتياز المسار، والتي تحدث عندما يستخدم التطبيق مدخلات مقدمة من المستخدم لإنشاء اسم مسار يُستخدم لاحقًا في عملية تتعلق بالملفات. وهذا يسمح للمسؤولين المصادق عليهم بتنفيذ تعليمات برمجية PHP تعسفية عن طريق تحميل أرشيف ZIP ضار يحتوي على تسلسلات تجاوز الدليل في أسماء الملفات. تتيح هذه العملية الكتابة فوق ملفات القوالب الافتراضية أو تضمين ملفات التعليمات البرمجية الضارة مباشرةً داخل القالب الحالي.