Trzeba zrobić follow up by trochę rozszerzyć to “pen-testowanie” i zrozumieć czy nie ma innych metod na uzyskanie “..” (symlinki, hardlinki etc). Ponadto, czy user root dir jest dobrze zabezpieczony  przed dostępem (co jak ktoś pozna jego FileID? Da się coś zrobić RESTem / oneclient po _onedata_file_id_ ?