A vulnerabilidade permite que invasores remotos anexem documentos SVG especialmente criados a relatórios de problemas ou notas de bug. Quando um usuário ou administrador clica no anexo, o arquivo file download.php abre o documento SVG em uma guia do navegador, em vez de baixá-lo como um arquivo, fazendo com que o código JavaScript seja executado.