O problema decorre do tratamento inadequado dos operadores ` in` e ` nin` no Directus, onde matrizes vazias são consideradas válidas. Isso leva a uma falha no controle de acesso, pois regras destinadas a serem aprovadas apenas quando um campo corresponde a qualquer um dos valores fornecidos deixam de funcionar corretamente. Por exemplo, uma expressão como `{“role”: {“ in”: $CURRENT USER.some field}}` seria avaliada como verdadeira, permitindo que a solicitação fosse aprovada mesmo quando não deveria. Isso pode resultar em usuários obtendo acesso a recursos não autorizados.