يوجد ثغرة حقن مسار URL في محول Microsoft Graph الخاص بـ Swoosh. يقوم المكون `Swoosh.Adapters.MsGraph` بإنشاء عنوان URL لطلب واجهة برمجة تطبيقات Microsoft Graph عن طريق إدراج عنوان البريد الإلكتروني للمرسل في المسار `/users/{from}/sendMail` دون التحقق من صحته أو ترميزه بنسبة مئوية. في التطبيقات التي يُشتق فيها عنوان «from» من مدخلات غير موثوق بها أو متأثرة بالمستخدم، يمكن للمهاجم استخدام أحرف خاصة بعناوين URL مثل «/» أو «?» أو «#» في الجزء المحلي من العنوان لتجاوز جزء المسار المقصود. وهذا يسمح للمهاجم بإعادة كتابة مسار الطلب وسلسلة الاستعلام، وإعادة توجيه طلب POST المصادق عليه إلى نقاط نهاية Graph أخرى ضمن نطاقات الرمز المميز باستخدام رمز حامل التطبيق.