Um problema de carregamento arbitrário de arquivos não autenticado existe devido ao tratamento inadequado de erros durante o processo de descifração RSA e à falta de saneamento de caminho ao gravar arquivos carregados. Quando o plugin falha ao descifrar uma chave de sessão usando `openssl private decrypt()`, ele passa um valor booleano falso para a inicialização da cifra AES da biblioteca phpseclib. A biblioteca interpreta esse valor falso como uma string de bytes nulos, permitindo que um atacante cifre uma carga útil maliciosa usando uma chave de byte nulo previsível. Além disso, o plugin aceita nomes de arquivo da carga útil descifrada sem saneamento, permitindo o salto de diretório para escapar do diretório de backup protegido. Isso permite que atacantes não autenticados carreguem arquivos PHP arbitrários para diretórios de acesso público e alcancem a Execução Remota de Código através do parâmetro `wpvivid action=send to site`. Aproximadamente 800.000 sites WordPress estão potencialmente afetados, especificamente aqueles com o recurso de receber backup de outro site ativado.