في عمليات النشر متعددة المؤسسات، تقوم لوحة التحكم التي لا تعمل في وضع الاستضافة الذاتية بإرفاق المفتاح الداخلي للخادم بالطلبات التي تحمل ترويسة تفويض (Authorization header) قبل التحقق من حامل المفتاح (bearer). وتثق بعض المسارات المخصصة للخدمة فقط بهذا المفتاح وتأخذ معرف المؤسسة من عنوان URL. يتيح ذلك لمتصل عن بُعد غير مصرح له استخدام حامل مفتاح وهمي لإعادة توجيه اتصال مزود مؤسسة أخرى إلى نقطة نهاية يسيطر عليها المهاجم، مما يؤدي إلى كشف المطالبات اللاحقة وتأثير الاستجابات التي يتحكم بها المهاجم على المهام. تشمل نقاط نهاية API المتأثرة 'PUT /v1/orgs/{org}/connections/{name}' و 'PUT /v1/orgs/{org}/policy/{backend}' وجميع المسارات تحت '/internal/*'.