في التكوين الافتراضي، تقوم دالة الاسترجاع (getter) التي تملأ زخارف الطلب بقراءة رؤوس HTTP `x-apigateway-event` و`x-apigateway-context` التي يتحكم فيها العميل قبل اللجوء إلى رمز الطلب الداخلي الموثوق به. ونظرًا لأن هذه الرؤوس المحجوزة لا يتم إزالتها من الحدث الوارد، يمكن لمهاجم غير مصدق عليه تعيين هذه الرؤوس لتزوير حدث وكيل Lambda بالكامل، بما في ذلك سياق المصادقة. وهذا يسمح للمهاجم بتجاوز البيانات الأصلية، مما يؤدي إلى تجاوز كامل للمصادقة والتفويض وتصعيد الامتيازات للتطبيقات التي تعتمد على `request.awsLambda.event` أو `request.awsLambda.context` للتحكم في الهوية أو الوصول.