O software contém uma falha que permite a um atacante disparar requisições HEAD do lado do servidor para URLs arbitrárias. Isso ocorre quando a opção ObjectSecurityListener ou EmbedSecurityListener está habilitada e as tags embed ou object são usadas com um atributo src sem extensão de arquivo.