يوجد خلل في تجاوز المصادقة في `X509Authenticator` و `X509AuthenticationListener` حيث يمكن للمهاجم الذي يمتلك شهادة من جهة إصدار شهادات (CA) موثوقة أن يصادق كأي مستخدم في التطبيق، بما في ذلك الحسابات ذات الصلاحيات، من خلال التأثير على الاسم الشائع (CN). ينبع المشكلة من إصلاح غير مكتمل حيث أن التعبير النمطي المستخدم لاستخراج معرفات المستخدم من Subject DN (Distinguished Name) الممرر في `$ SERVER['SSL CLIENT S DN']` لم يكن يراعي رموز الهروب (escape-aware). وبناءً على ذلك، يفشل النظام في التمييز بين فاصل RDN (Relative Distinguished Name) الفعلي وحروف الفصل الموجودة داخل القيمة. بموجب RFC 2253، يتم قراءة الفواصل المهربة بشكل خاطئ كفواصل، ويتم التعامل مع الشرطات المائلة البسيطة كفواصل. وفي تنسيق `X509 NAME oneline()` القديم، يتم التعامل مع الفواصل البسيطة كفواصل. وهذا يسمح لـ CN ملوث بتمرير عنوان مستخدم مختلف لإتمام عملية المصادقة.