Uma falha de autorização existe no endpoint de API 'send sms' listado na whitelist. O sistema não verifica se o chamador possui as permissões necessárias para enviar mensagens SMS, permitindo que usuários não autorizados enviem mensagens arbitrárias que personificam a empresa.