توجد ثغرة تسمح للمهاجمين غير المصرح لهم بتنفيذ Directory Traversal، وهي طريقة تُستخدم للوصول إلى الملفات والمجلدات المخزنة خارج مجلد جذر الويب. من خلال التلاعب بالمعلمة `file` ، يمكن للمهاجم قراءة ملفات عشوائية على الخادم. ومع ذلك، وبسبب فحوصات تقييد المسار الموجودة باستخدام `strpos` و `realpath` ، يقتصر الوصول على دليل wp-content/uploads/ ، مما يمنع استرداد ملفات مثل wp-config.php.