يوجد خلل في التصريح ضمن الدالة `get open activities()` في `erpnext.crm.utils`. يسمح هذا الخلل لأي مستخدم مصرح له، بما في ذلك مستخدمو البوابة أو المستخدمون الذين ليس لديهم أدوار محددة، بالوصول إلى سجلات المهام (ToDo) والأحداث (Event). من خلال تقديم قيم عشوائية للمتغيرات `ref doctype` و `ref docname` يمكن للمهاجم تعداد الأنشطة واسترداد تفاصيل أحداث التقويم الخاصة.