يسمح تجاوز تفويض بالوصول للمستخدمين المصرح لهم بصلاحيات منخفضة بقراءة كتالوج التحكم في الوصول القائم على الأدوار (RBAC). من خلال الاستعلام عن نقاط نهاية أمنية غير محمية، يمكن للمهاجمين رسم خريطة للإجراءات ونقاط النهاية ذات الصلاحيات العالية للتخطيط لتصعيد الصلاحيات. نقاط نهاية API المتأثرة هي 'GET /security/actions' و 'GET /security/resources'، والتي تتجاهل سياسات RBAC الخاصة بمقدم الطلب.