توجد مشكلة تتمثل في أن معالج فقدان كلمة المرور القديم `rc process lost password form()` يمرر معلمة POST `rc redirect` التي يتحكم فيها المهاجم إلى منفذين لم يتم التحقق من صحتهما في ملف legacy/includes/forms.php. يحدث هذا عبر `wp redirect()` و`add query arg()` داخل الدالة `rc send password reset email()`. ونظرًا لأن الرقم العشوائي (nonce) المطلوب يتم بثه بواسطة الرمز المختصر العام `[login form]` إلى الزوار المجهولين، يمكن للمهاجمين غير المصادق عليهم تشغيل طلبات إعادة تعيين كلمة المرور لأي حساب، بما في ذلك حسابات المسؤولين. من خلال تزوير رسالة إعادة تعيين كلمة المرور لتشير إلى مضيف يسيطر عليه المهاجم، يتم تسريب مفتاح إعادة التعيين عندما ينقر الضحية على الرابط، مما يسمح للمهاجم بإعادة استخدامه والاستيلاء على الحساب.