Um problema de divulgação de informações existe na função `OrderConfirmationController::init()`. Atacantes não autenticados podem obter referências de pedidos de convidados e endereços de e-mail fornecendo valores `id cart` de convidados. Ao iterar por valores sequenciais de `id cart` e ler o cabeçalho de redirecionamento Location, os atacantes podem visualizar detalhes de reserva via rastreamento de convidados e, posteriormente, converter perfis de convidados em contas completas usando senhas escolhidas pelo atacante.