Os módulos JSON:API e REST permitem o upload de arquivos de imagem para campos de imagem. As regras de validação verificam a extensão do arquivo, mas não o tipo MIME (Multipurpose Internet Mail Extensions), que é um padrão usado para identificar a natureza e o formato de um documento. Essa falha permite que um usuário mal-intencionado faça o upload de arquivos que não sejam imagens. Dependendo da configuração do servidor web, esses arquivos podem ser servidos com seu tipo MIME real, podendo levar a cross-site scripting (XSS), onde scripts maliciosos são injetados em sites confiáveis, ou a outros comportamentos inesperados.