to3k Twittodonアプリケーションのdownload.phpスクリプト（コミットb1c58a7d1dc664b38deb486ca290779621342c0b、2023-02-28まで）には、安全でないデシリアライズの脆弱性が存在します。'obj'パラメータはbase64エンコードされたデータを受け取り、検証せずにunserialize()関数へ直接渡されます。このため、リモートの認証されていない攻撃者が任意のPHPオブジェクトを注入してサービス拒否（DoS）を引き起こすことが可能です。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。