Um invasor não autenticado pode ignorar hooks de autenticação e quebrar o encapsulamento de prefixo ao enviar uma URL malformada. O roteador interno de not-found para manipuladores encapsulados despacha caminhos malformados através de um ponteiro de manipulador compartilhado único antes da decodificação da URL, o que ignora o prefixo e pula o ciclo de vida normal do manipulador selecionado. Isso permite que uma requisição enviada sob o prefixo de um plugin seja roteada para o manipulador customizado de not-found de um plugin irmão diferente, potencialmente permitindo que o invasor acesse um fallback privado protegido por autenticação e leia sua resposta completa.