توجد ثغرة تسمح للمستخدمين المصرح لهم بصلاحيات مشترك أو أعلى بتصعيد امتيازاتهم. يحدث هذا بسبب تسجيل الدالة `process reset()` على `admin init` دون التحقق من الصلاحيات، واستخدام nonce محسوب ولكن غير مستخدم. بالإضافة إلى ذلك، يتم تجاوز شرط التحكم عندما لا يوجد مدير باسم 'admin'، ويقوم اختبار الهوية بالتحقق من كلمة مرور المهاجم نفسه بدلاً من كلمة مرور المدير. يمكن للمهاجم استغلال ذلك لحذف جميع جداول قاعدة البيانات ذات البادئة، وتشغيل `wp install()` ببيانات اعتماده الخاصة ليصبح المدير الوحيد للموقع، والمصادقة عبر `wp set auth cookie()`، وحذف دليل التحميلات.