يوجد ثغرة في تجاوز التفويض في وحدات التحكم في واجهة برمجة التطبيقات REST الخاصة بـ Order و OrderItem. يمكن للمستخدم البعيد والمصادق عليه قراءة وتعديل وحذف الطلبات وعناصر الطلبات الخاصة بشركات أخرى (المستأجرين) عن طريق توفير معرّف رقمي متسلسل `id` إلى نقاط النهاية التالية:
- ’GET /api/order/{id}‘
- ’PUT /api/order/{id}‘
- 'GET /api/order-item/{id}'
- ’PUT /api/order-item/{id}‘
- ’DELETE /api/order-item/{id}‘
يحدث هذا لأن وحدات التحكم تستخدم الدالتين `Order::find($id)` و`Item::find($id)` لاسترداد السجلات دون تقييد البحث بشركة المستخدم الذي تمت مصادقته.