Um problema de execução remota de código autenticado existe onde usuários com permissões de gerenciamento de `custom fields` podem executar código Ruby arbitrário. Isso ocorre quando uma expressão maliciosa é fornecida através do tipo de campo personalizado `select eval`. Um invasor pode armazenar uma expressão Ruby controlada no parâmetro `command` das opções do campo, que é então avaliada via função `instance eval()` dentro de uma view ERB durante a renderização de uma página de edição de postagem. Isso permite a execução de código no servidor com os privilégios do processo do servidor web.