Um problema de traversal de caminho existe que permite que atacantes remotos leiam e escrevam arquivos arbitrários no host. Isso é alcançado executando funções de sistema de arquivos do DuckDB através do editor de consultas. Um atacante pode acessar um arquivo DuckDB sem credenciais e utilizar funções como `read text()`, `read blob()`, `COPY ... TO` ou `ATTACH` para roubar a `session.key` e credenciais de banco de dados armazenadas ou sobrescrever arquivos.