في وضع تعدد المستأجرين (`HOST MODE=multi`)، توجد ثغرة تسمح للمهاجم باستخدام مفتاح تحقق من البريد الإلكتروني صادراً عن مستأجر معين للمصادقة بنفس عنوان البريد الإلكتروني على مستأجر آخر. يحدث هذا بسبب فقدان تصفية معرف المستأجر في الدالة `getVerificationByKey()`، مما يؤدي إلى تجاوز كامل لعزل المستأجرين والاستيلاء غير المصرح به على الحسابات عبر المستأجرين. لا تتأثر عمليات النشر ذات المضيف الواحد (`HOST MODE=single`).