Um controle de acesso quebrado no endpoint 'portal/portal payment.php' permite que usuários autenticados com baixos privilégios ignorem as verificações de Lista de Controle de Acesso (ACL) de faturamento. Ao manipular os parâmetros `pid` e `form pid`, um invasor pode visualizar páginas de pagamento e registrar recibos de pagamento fraudulentos para pacientes arbitrários, corrompendo os registros de faturamento.