A mutação GraphQL `joinProject` permite que qualquer membro de um espaço de trabalho se adicione a qualquer projeto dentro desse espaço, incluindo projetos secretos ou privados (onde `network=0`) para os quais não foram convidados. Isso ocorre porque o resolver verifica apenas a associação e as funções no nível do espaço de trabalho, falhando em checar a visibilidade do projeto de destino. Consequentemente, o isolamento de locatários no nível do projeto é comprometido, permitindo que membros com baixos privilégios leiam e modifiquem dados confidenciais em todos os projetos privados.