تقبل العديد من وحدات التحكم الأساسية ومسارات التقاط النماذج حقول الطلبات التي يتحكم فيها العميل، بما في ذلك المفاتيح الأساسية (`id`) والمفاتيح الخارجية للملكية أو النطاق مثل `event id` و`org id` و`user id` و`sharing group id` و`galaxy cluster uuid` و`organisation uuid` ومعرفات الكائنات المتداخلة ذات الصلة، دون إجراء عملية إزالة أو تثبيت أو إعادة التحقق متسقة مقابل الكائنات المصرح بها من قبل الخادم. يمكن للمستخدم المصادق عليه الذي يتمتع بحق الوصول إلى كائن واحد مصرح به إرسال حمولات REST أو نماذج مصممة خصيصًا لحفظ البيانات في كائن مختلف عن الكائن الذي تم التحقق منه بواسطة منطق التفويض. وقد يؤدي ذلك إلى الكتابة فوق الكائن، أو إعادة تحديد الوالد للكائن، أو نقل الملكية، أو تحديد نطاق مجموعة مشاركة غير مصرح به، أو حقن حدث أو كائن، أو إعادة توجيه الاقتراح، أو ظهور محتوى مخزن يتحكم فيه المهاجم في سياق مستخدم آخر. تنبع المشكلة من قيام الدالة `CRUDComponent::edit()` بنسخ الحقول المقدمة، بما في ذلك المفتاح الأساسي للحمولة، إلى السجل الذي تم تحميله، مما يسمح لدالة `save()` في CakePHP بتحديث صف عشوائي إذا لم يتم إعادة تثبيت المعرف الذي تم تحميله.