يوجد ثغرة في نظام التفويض في `BankAccountListController` (app/Http/Controllers/Api/BankAccount/BankAccountListController.php) عند نقطة النهاية GET ’/api/bank-account‘. يمكن لمهاجم بعيد ومصادق عليه يتمتع بدور ذي امتيازات منخفضة، مثل ”User“، قراءة سجلات حسابات بنكية عشوائية تابعة لشركته. يحدث هذا لأن مسار واجهة برمجة التطبيقات (API) محمي فقط بواسطة البرمجيات الوسيطة `auth:api` ويفتقر إلى بوابة أذونات، على عكس مسار الويب الذي يفرض فحص `can(’read bank‘)`. يستخدم المعالج `Account::where(’company id‘, Auth::user()->company id)->get()`، والذي يطبق نطاق الشركة فقط دون التحقق من دور المستخدم أو أذوناته. يؤدي هذا إلى الكشف غير المصرح به عن البيانات المصرفية الحساسة، بما في ذلك رقم الحساب المصرفي الدولي (IBAN) ورمز SWIFT/BIC ومعرفات الحسابات.