Existe um problema no recurso de upload de arquivos fragmentados (chunked file upload) onde o plugin não restringe adequadamente os tipos de arquivos que usuários não autenticados podem enviar. Em servidores configurados para processar documentos Server-Side Include (SSI), como o Apache com SSI habilitado, isso permite que um invasor leia variáveis de ambiente do servidor e o conteúdo de arquivos dentro da raiz da web. Server-Side Includes são diretivas usadas para injetar conteúdo dinâmico em páginas HTML antes de serem enviadas ao cliente.