يمكن لملف .apk مُعدّ خصيصًا تثبيت إدخال tar من نوع `TypeSymlink` بحيث يشير الهدف إلى موقع خارج جذر البناء. ويمكن لعمليات إنشاء الدلائل أو كتابة الملفات اللاحقة في نفس الأرشيف أو في أرشيف لاحق أن تتجاوز هذا الرابط الرمزي للوصول إلى مسارات المضيف التي يمتلك مستخدم البناء إذنًا للكتابة فيها. تنشأ المشكلة من الأداة المساعدة `sanitizePath` الموجودة في `pkg/apk/fs/rwosfs.go`، والتي ترفض فقط التجاوز اللغوي لـ `..` وتفشل في حل أو رفض الروابط الرمزية. يؤثر هذا على أساليب `DirFS` المدعومة بالقرص التي تمرر المسارات التي يوفرها المستدعي إلى استدعاءات المكتبة القياسية التي تتبع الروابط الرمزية، بما في ذلك `ReadFile()` و`WriteFile()` و`Chmod()` و`Chown()` و`Chtimes()` و`MkdirAll()` و`Mkdir()` و`Mknod()`. العنصر الأساسي الذي يمكن الوصول إليه أثناء استخراج ملفات tar هو سلسلة `MkdirAll()` / `Mkdir()` / `WriteFile()` عبر `apko build-cpio` والمستهلكين المدعومين بالقرص مثل `melange`.