该插件允许使用链接参数中的目录遍历通过dzsap_download操作下载任意文件，包括wp-config.php，/etc/passwd等敏感配置文件。

严格限制文件路径参数，不允许用户控制文件路径相关的参数，限定文件路径范围。