A API REST não aplica corretamente o escopo de equipes com escopo de projeto e espaço de trabalho. Isso permite que um usuário envie configurações de equipe inválidas, possibilitando a atribuição de projetos a uma equipe por meio de solicitações não validadas. Consequentemente, um usuário poderia conceder a si mesmo acesso a projetos que não tem autorização para visualizar ou gerenciar, expondo potencialmente projetos privados e permitindo operações de tradução, repositório e gerenciamento de projetos não autorizadas.