توجد ثغرة تسمح برفع ملفات عشوائية بسبب غياب التحقق من امتداد الملف من جهة الخادم داخل الدالة `cbforms check form submissions()`. عندما لا يتم تكوين أي قيود على الحقول، يتم تعيين التحقق من النوع المسموح به افتراضيًا وفقًا لامتداد الملف المرفوع، مما يسمح برفع ملفات قابلة للتنفيذ مثل .php. يتيح ذلك للمهاجمين غير المصرح لهم تنفيذ تعليمات برمجية عن بُعد. كما أن رمز nonce الخاص بعملية الإرسال المستخدم للتحقق يتم طباعته بشكل مباشر في الصفحات العامة، مما يجعله سهل الحصول عليه من قبل الزوار غير المصرح لهم.