توجد مشكلة في الكشف عن المعلومات في الدالة `OrderConfirmationController::init()`. يمكن للمهاجمين غير المصرح لهم الحصول على مراجع طلبات الضيوف وعناوين البريد الإلكتروني من خلال تقديم قيم `id cart` الخاصة بالضيوف. ومن خلال تكرار قيم `id cart` المتسلسلة وقراءة ترويسة إعادة التوجيه Location، يمكن للمهاجمين عرض تفاصيل الحجز عبر تتبع الضيوف، ومن ثم تحويل ملفات تعريف الضيوف إلى حسابات كاملة باستخدام كلمات مرور يختارها المهاجم.