توجد ثغرة تخطي المسار تسمح للمهاجمين عن بُعد بقراءة وكتابة ملفات 임의 على المضيف. يتم ذلك من خلال تشغيل وظائف نظام ملفات DuckDB عبر محرر الاستعلامات. يمكن للمهاجم تسجيل الدخول إلى ملف DuckDB بدون بيانات اعتماد واستخدام وظائف مثل `read text()` أو `read blob()` أو `COPY ... TO` أو `ATTACH` لسرقة `session.key` وبيانات اعتماد قاعدة البيانات المخزنة أو الكتابة فوق الملفات.