Ações de gravação em `controllers/C Document.class.php`, especificamente a função `move action process()`, não verificam se o chamador possui acesso apropriado ao documento de origem, ao paciente e categoria atuais, ou ao paciente e categoria de destino antes que a função `Document::change patient()` execute a mutação. Isso permite que um usuário autenticado de baixo privilégio reatribua um documento arbitrário a um paciente ou categoria que o usuário possa acessar e, em seguida, recupere-o através do caminho de leitura normalmente protegido. Como a reatribuição ocorre antes de uma verificação de renderização de lista posterior, uma resposta HTTP 403 final não significa que a gravação não autorizada foi bloqueada.