تسمح ثغرة تصعيد الصلاحيات لمالكي الفرق بالحصول على حقوق المسؤول أو ملكية المشاريع المشتركة للقراءة فقط. يمكن للمهاجم تحقيق ذلك عن طريق إنشاء بوت، وإضافته إلى فريقهم، ثم حذفه من خلال نقطة نهاية البوتات (bots endpoint). تؤدي هذه العملية إلى تشغيل الدالة `ensureProjectAdminUser()`، والتي تقوم بترقية المشاركات للقراءة فقط وحظر المالك الحقيقي.