توجد ثغرة تجاوز المسار (path traversal) تتيح للمستخدمين الذين لديهم صلاحيات الوسائط كتابة ملفات عشوائية عن طريق استخدام تسلسلات `../` في المعلمة `name`. يمكن للمهاجم استخدام URI بيانات base64 عبر إجراء الوسائط `crop url` لكتابة قالب ERB (Embedded Ruby)—وهو نظام قوالب من جهة الخادم—في دليل العروض الخاص بالقالب، مما يؤدي إلى تنفيذ التعليمات البرمجية عند عرض القالب.