توجد ثغرة أمنية من نوع «Zip Slip» في وظيفة استعادة النسخ الاحتياطي، مما يسمح بالكتابة التعسفية فوق الملفات من خلال تجاوز المسار في ملفات ZIP التي تم تحميلها. يستخدم التطبيق `zipfile.extractall()` دون التحقق من صحة مسارات المدخلات، مما يسمح للمهاجمين بالخروج من دليل الاستخراج باستخدام تسلسلات «../». قد يحتوي ملف ZIP ضار على عناصر مصممة خصيصًا للكتابة فوق الملفات الحساسة، مثل المفتاح السري لـ Flask (`/secret.txt`) وإعدادات التطبيق (`changedetection.json`) وإعدادات المراقبة (`url-watches.json` أو `watch.json` داخل دليل UUID). يتم استغلال الثغرة الأمنية عند تحميل ملف ZIP مصمم خصيصًا لهذا الغرض عبر وظيفة استعادة النسخ الاحتياطي في نقطة النهاية `/backups/restore`. وتعتبر الدالة `restore backup()` (الأسطر 50-53) عرضة للخطر. يمكن للمهاجمين تحميل ملفات ZIP تحتوي على محتوى ضار، والتي يتم بعد ذلك كتابتها في مواقع حساسة في النظام.