O Flag Forge, uma plataforma de Capture The Flag (CTF), apresenta uma falha onde o endpoint público da API `/api/user/[username]` retorna endereços de e-mail dos usuários em sua resposta JSON. Isso expõe informações sensíveis dos usuários. A falha foi corrigida na versão 2.3.1, que remove endereços de e-mail das respostas da API pública, mantendo a acessibilidade pública do endpoint. O parâmetro vulnerável é `username`.