تسمح ثغرة في التصريح غير الصحيح بالتصفح القسري (Forceful Browsing). يفشل النموذج في التحقق بشكل كافٍ من صلاحيات المستخدم عند إنشاء أنواع وسائط محددة إذا كان نموذج الرفع الجماعي مهيأً لتلك الأنواع. يتطلب الاستغلال أن يمتلك المهاجم دوراً لديه صلاحية "bulk upload form".