Existe uma falha de bypass de autorização na rota de download de arquivos de mídia. Atacantes não autenticados podem acessar arquivos restritos enviando variantes de URL equivalentes ao caminho. Ao utilizar formas de caminho normalizadas, como prefixos dot-slash, barras duplas ou sequências codificadas em percentual, os atacantes podem burlar as verificações de restrição baseadas em função. Isso ocorre porque o sistema de arquivos resolve a solicitação para o arquivo protegido, apesar das verificações de segurança, permitindo o download não autorizado de arquivos sem credenciais.