يمكن لمستخدم Subsonic المصادق عليه تجاوز عمليات التحقق من الملكية لقراءة أو حذف قوائم التشغيل الخاصة بمستخدمين آخرين، واستكشاف مسارات ملفات عشوائية على المضيف للتحقق من وجودها أو إمكانية قراءتها. يحدث هذا لأن `playlist.UserID` مشتق من الجزء الأول من مسار معرف قائمة التشغيل، ولكن لا يوجد احتواء للمسار في مسار الملف الذي تم تحليله. تتضمن المشكلة اجتياز المسار داخل المعلمة `id`، مما يسمح بتجاوز الحدود المقصودة لمنع الإشارات المباشرة غير الآمنة إلى الكائنات (IDOR)، وهي ثغرة أمنية تتيح للتطبيق الوصول المباشر إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم.