Existe um problema que permite que atacantes não autenticados realizem Directory Traversal, um método usado para acessar arquivos e diretórios armazenados fora da pasta raiz da web. Ao manipular o parâmetro `file`, um atacante pode ler arquivos arbitrários no servidor. No entanto, devido a verificações de confinamento de caminho existentes usando `strpos` e `realpath`, o acesso é restrito ao diretório wp-content/uploads/, impedindo a recuperação de arquivos como o wp-config.php.