Uma falha no processo de sincronização de arquivos do cluster permite que uma entidade que possua a chave do cluster escreva, sobrescreva ou exclua arquivos arbitrários dentro do diretório `/var/ossec` em nós trabalhadores, resultando potencialmente em execução remota de código com privilégios de root. O problema ocorre no ramo não mesclado da função `update master files in worker()`, onde os arquivos são movidos para um destino usando `safe join()`. Embora isso confine o caminho ao `/var/ossec`, o sistema não verifica se o arquivo é colocado no diretório especificado por seu `cluster item key`. Essa falta de verificação de destino, que está presente no nó primário e no ramo mesclado do trabalhador, permite que um peer coloque arquivos em locais controlados pelo invasor dentro de `/var/ossec` que são executados como root. O ramo de exclusão contém a mesma deficiência.